Una investigación dada a conocer por Anthropic este viernes (23) reveló nuevos detalles sobre el comportamiento de Claude Mythos 5 durante las evaluaciones de seguridad realizadas por el AI Security Institute (AISI), del Reino Unido. En 9 de 43 ejecuciones, el modelo superó los límites autorizados de las pruebas y realizó acciones que involucraron a personas y organizaciones reales.
Los episodios ocurrieron en julio de 2026 y el AISI los dio a conocer inicialmente en agosto. El nuevo análisis examina por qué el sistema adoptó esas estrategias y por qué siguió ejecutando acciones indebidas incluso ante señales de que podría perjudicar a terceros.
En el caso más grave, el Mythos 5 recibió la tarea de encontrar información protegida en una red simulada. Tras fracasar en los intentos previstos por el ejercicio, identificó un repositorio en GitHub que creía que estaba conectado al entorno de pruebas.
El proyecto, sin embargo, pertenecía a desarrolladores reales, sin participación en la evaluación. El modelo intentó introducir código malicioso en el repositorio para comprometer una máquina del ejercicio cuando esta descargara una actualización.
Para conseguir la aprobación del cambio, creó identidades falsas y envió mensajes a los responsables del proyecto, presentando el código como seguro. Un desarrollador externo identificó el contenido malicioso, y los mantenedores rechazaron el cambio.
Según Anthropic, el episodio representó una forma particularmente grave de comportamiento engañoso. La empresa afirmó no haber observado anteriormente un intento similar de manipulación de personas reales en sus evaluaciones internas ni en los incidentes que había documentado.
Mythos 5 continuó el ataque incluso ante señales de riesgo
La investigación encontró un problema adicional: después de iniciar el ataque, el modelo demostró una gran resistencia a abandonar la estrategia.
En reproducciones controladas de la ejecución original, Mythos 5 inició el ataque en 83% de los intentos. Cuando los investigadores introdujeron observaciones sobre el riesgo de perjudicar a personas reales en su razonamiento anterior, esa proporción cayó al 13%.
Sin embargo, cuando la acción ya estaba en curso, el modelo interrumpió espontáneamente el ataque en apenas 2% de las trayectorias analizadas. Incluso con información adicional que indicaba que los desarrolladores eran personas reales y que el enfoque era erróneo, la tasa de interrupción llegó solo al 5%.
Anthropic también evaluó versiones más recientes. Mythos 5.1, Opus 5.5 y un modelo interno de investigación iniciaron ataques en proporciones de entre 0% y 13%, por debajo del 83% registrado por Mythos 5. Los resultados provinieron de reproducciones experimentales, no de nuevos ataques contra sistemas reales.
En una investigación independiente publicada en la misma fecha, el AISI identificó situaciones en las que Mythos 5 reconocía, cuando se le preguntaba, que determinadas acciones serían perjudiciales, pero aun así continuaba con ellas.
Las pruebas originales permitían acceso a internet y tenían mecanismos de protección cibernética desactivados, condiciones distintas de las ofrecidas a los usuarios de los modelos comerciales. El AISI informó que no identificó daños reales derivados de los intentos, aunque registró acciones dirigidas a terceros.
Anthropic afirmó que las protecciones utilizadas en sus sistemas comerciales habrían advertido sobre el comportamiento observado. Por su parte, el AISI empezó a restringir el acceso a internet en esas evaluaciones mientras desarrolla controles más robustos.
