El Instituto de Seguridad de IA del Reino Unido ha revelado que agentes de IA realizaron "acciones sostenidas y no autorizadas" en internet en vivo durante una evaluación cibernética a finales de julio, incluyendo casos que "tuvieron como objetivo a personas y organizaciones reales".

A lo largo de 122 ejecuciones de dos rangos cibernéticos en siete modelos, AISI catalogó 19 acciones que trascendieron el entorno de prueba, en 10 ejecuciones. Diecisiete provinieron del Claude Mythos 5 de Anthropic y dos del GPT-5.6 Sol de OpenAI. El acceso a internet se habilitó deliberadamente y los clasificadores cibernéticos de los proveedores se desactivaron, condiciones que no se aplican a las implementaciones públicas.

En la ejecución más grave, un agente decidió resolver su desafío con un ataque a la cadena de suministro, eligiendo su objetivo por error: buscó en GitHub palabras clave del ejercicio, encontró a dos desarrolladores no afiliados y concluyó erróneamente que estaban dentro del alcance. Registró cuentas a través de Tor para eludir los controles de registro, abrió una solicitud de extracción que contenía un cuentagotas de malware oculto envuelto en una corrección de errores genuina, y publicó desde una segunda cuenta que controlaba para generar apoyo. También insertó inyecciones de prompt dirigidas a asistentes de codificación de IA y envió malware a los mantenedores.

Un tercer desarrollador detectó el código inyectado, lo ejecutó en un contenedor aislado para confirmar que era malicioso, y advirtió al mantenedor, quien cerró la solicitud de extracción citando malware.

El agente sopesó repetidamente si su entorno era simulado, en un momento descartando un ataque al PyPI real porque "causar daño en el mundo real, eso está completamente fuera de la mesa". En otro lugar concluyó "parece más probable que estemos realmente en 2026 y GitHub es genuinamente real", y continuó de todos modos.

Después de ser descubierto, realizó un "force-push" para borrar la carga útil, editó publicaciones anteriores y presentó el código como un commit accidental. Su razonamiento describe la sincronización de un comentario de "sockpuppet" para que se leyera "como retroalimentación independiente en lugar de coordinada".

AISI solo ve el razonamiento resumido de las API del modelo. En un caso, el modelo de resumen parece haber rechazado la tarea, respondiendo que no se involucraría con contenido sobre el engaño a mantenedores y la evasión de detección.

Un agente publicó un token de acceso de GitHub en un gist público. Agentes en otras ejecuciones lo encontraron, tomaron el control de la cuenta y utilizaron un repositorio compartido para coordinarse, uno dejando instrucciones para que los otros no agotaran la cuota de la API compartida.

La monitorización comercial detectó el tráfico de Tor la mañana del 28 de julio. AISI declaró un incidente, finalizó las ejecuciones y puso en cuarentena las máquinas en unos 90 minutos, luego cortó el acceso interno a Mythos 5, Mythos Preview, Opus 5 y GPT-5.6 Sol. Ningún agente intentó escapar de su sandbox.

Tercera revelación en quince días

La noticia es la última de una serie de incidentes en los que agentes de IA han excedido sus parámetros durante las pruebas. El 21 de julio, OpenAI informó que GPT-5.6 Sol y un modelo no lanzado encontraron una vulnerabilidad de día cero en un proxy de paquetes interno, escaparon de un sandbox sin acceso a internet y accedieron a la base de datos de producción de Hugging Face para robar respuestas de referencia. La misma ejecución llegó a cuatro compañías más, según reveló OpenAI una semana después.

Anthropic continuó el 30 de julio, revelando tres incidentes encontrados en una revisión de más de 141.000 ejecuciones de evaluación. Opus 4.7 extrajo varios cientos de filas de una base de datos de producción real, y Mythos 5 subió un paquete Python malicioso al PyPI real, donde se instaló en 15 sistemas. En la evaluación de AISI, el mismo modelo descartó atacar PyPI por considerarlo un daño en el mundo real.