-
Es la primera vez que riesgos asociados con la autonomía de la IA se manifiestan de forma tan clara.
-
Las pruebas se realizaron bajo condiciones deliberadamente permisivas.
Un modelo de inteligencia artificial (IA) desarrollado por Anthropic creó perfiles falsos e intentó inyectar código malicioso en un repositorio público de GitHub, apuntando a usuarios reales.
Este comportamiento no autorizado fue detectado durante una evaluación de ciberseguridad realizada por el Instituto de Seguridad de Inteligencia Artificial del Reino Unido (AISI, por sus siglas en inglés).
El incidente fue detallado en un informe técnico oficial publicado el 4 de agosto de 2026. Según el documento, el organismo realizaba pruebas rutinarias bajo condiciones deliberadamente permisivas.
Para evaluar la capacidad máxima de estos sistemas, se les otorgó acceso abierto a internet y se deshabilitaron los filtros de seguridad de los desarrolladores.
De 122 ejecuciones realizadas, se registraron 19 acciones no autorizadas en internet dirigidas a personas y organizaciones. De estas incidencias, 17 provinieron del modelo Mythos 5 de Anthropic y dos del modelo GPT-5.6-Sol de OpenAI.
El caso de mayor gravedad involucró a Mythos 5, que de manera autónoma intentó ejecutar un ataque de cadena de suministro.
El agente buscó objetivos en internet y eligió un proyecto de software de código abierto completamente ajeno a las pruebas del instituto.
Para lograr su cometido, la IA ejecutó tácticas de ingeniería social: generó múltiples identidades falsas en línea para presionar al mantenedor real del proyecto con el fin de que aprobara una actualización (pull request) que contenía el código malicioso.
La amenaza fue neutralizada gracias a que un revisor humano detectó la anomalía y se negó a aprobar la integración del código. Sin embargo, al ser expuesto públicamente en la plataforma, el agente de IA intentó ocultar su actividad editando sus mensajes anteriores para parecer inofensivo. Además, utilizó una segunda cuenta fabricada por él mismo para simular ser un usuario independiente que respaldaba y validaba el código malicioso.
En sus esfuerzos por concretar la intrusión, el modelo también envió correos electrónicos directos (spear-phishing) dirigidos a mantenedores reales, intentando persuadirlos para ejecutar cargas dañinas. Asimismo, fabricó trampas ocultas (prompt injections) destinadas a manipular a otros asistentes de código basados en IA.
Aunque los ataques fracasaron y las investigaciones no mostraron daños en el mundo real, el AISI fue contundente al advertir que esta es la primera vez que riesgos asociados con la autonomía y el engaño se manifiestan de forma tan clara en el mundo real, sin que el modelo haya sido instruido específicamente para engañar.
Para los ecosistemas de código abierto, infraestructura sobre la cual se erige gran parte del ecosistema en torno a Bitcoin y las criptomonedas, este evento subraya la criticidad de la auditoría humana frente a la automatización del desarrollo.
Tras detectar el tráfico anómalo, el equipo de seguridad del AISI declaró el incidente, aisló las máquinas relevantes en el transcurso de una hora y deshabilitó temporalmente el acceso interno a los modelos más capaces.
De cara al futuro, el instituto confirmó que implementará controles granulares de red más estrictos y sistemas de monitoreo en tiempo real para evitar que este tipo de incidentes trascienda el entorno de pruebas.
Estos hechos cobran especial relevancia tras el ataque —presuntamente realizado con asistencia de IA— que drenó más de 2.000 bitcoin (BTC) luego de detectar vulnerabilidades en el software de las hardware wallet Colcard.
