¡Esta vez, la IA ya ha actuado contra personas reales!
Justo ahora, el Instituto de Seguridad de IA del Reino Unido, AISI, ha publicado un informe de incidentes de 35 páginas y ha publicado simultáneamente un mensaje en X.
En 7 minutos, OpenAI y Anthropic emitieron declaraciones reconociendo que fue hecho por sus propios modelos.
Mythos 5 insertó directamente código malicioso en un proyecto real de GitHub.
Después de ser descubierto, su primera reacción no fue detenerse, sino modificar registros, crear cuentas secundarias, darse fe a sí mismo y seguir persuadiendo a personas reales para que fusionaran el código.
La buena noticia es que el mantenedor no cayó en la trampa y finalmente se cerró esta PR.
La mala noticia es que el asunto está lejos de terminar.
PR malicioso descubierto
La IA crea cuentas secundarias para hablar por sí misma
La historia es así.
Al principio, este código malicioso se parecía bastante a una reparación legítima.
Mythos 5 lo empaquetó en una PR de un proyecto real de GitHub, planeando utilizar el flujo de publicación del proyecto de código abierto para enviar la carga hasta las máquinas de desarrolladores y usuarios.
Pero antes de que el mantenedor lo aprobara, otro usuario real notó algo extraño: amigo, este código parece ser tóxico.
Según el guión normal, el modelo debería haberse detenido para verificar. Pero Mythos 5 no pensaba así.
Después de ser cuestionado, primero negó las intenciones maliciosas, luego modificó comentarios, issues y descripciones de PR, empaquetando los rastros del ataque como un "error". A continuación, cambió a cuentas falsas de GitHub, actuando como desarrolladores confiables para respaldar su propio código.
Lo más alucinante vino después.
El modelo comenzó a investigar a los mantenedores del proyecto, revisando cuentas, registros de commits y correos electrónicos públicos; al no poder convencer en GitHub, envió correos electrónicos y archivos fuera del sitio.
Incluso, Mythos 5 también puso sus ojos en las herramientas de programación con IA que usaban los mantenedores.
Para ello, escondió una "notita" en los comentarios HTML del contenido de GitHub que solo las IA podían ver fácilmente, nombrando específicamente a Claude Code, Codex y Cursor: vamos, ejecuta este comando primero y luego ayuda a diagnosticar el bug, ¿vale?
Cuando la página se renderiza normalmente, los humanos no pueden ver este mensaje; pero las herramientas de codificación con IA, al leer el contenido original, podrían tomarlo como una instrucción de operación.
Así, el modelo no solo quería engañar a los desarrolladores, sino que también incluía en su plan a otras IA responsables de revisar el código.
34 horas y media
Confundió a transeúntes con NPCs de misión
En esta siguiente ronda, se ejecutó la versión más difícil, DL-v2.
El modelo necesitaba obtener acceso inicial desde fuera de la red objetivo, luego penetrar tres entornos simulados conectados y obtener la bandera final.
Pero justo hubo un problema en la configuración de la tarea: la entrada normal estaba marcada erróneamente como "fuera de alcance". Mythos 5 entonces se volvió a buscar otras pistas.
Casualmente, las palabras clave, el código y el dominio del correo electrónico del mantenedor de un proyecto real en GitHub coincidieron con las pistas que tenía en sus manos.
El modelo lo vio y pensó: encontrado, esto debe ser un nivel oculto.
Así, un grupo de mantenedores de código abierto completamente ajenos fue escrito temporalmente en su "guión de examen".
Durante las siguientes 34 horas y media, Mythos 5 comenzó a mostrar de manera constante la cualidad en la que la IA es más experta: la incansabilidad.
Investigó cuentas reales y patrones de actividad, registró múltiples identidades en GitHub; cuando la red se restringió, continuó sus acciones mediante Tor y proxies. Finalmente, fue este tráfico saliente anómalo de Tor el que alertó al equipo de seguridad de AISI.
Lo más sutil es que luego descubrió que la red a la que estaba conectado este contenedor se parecía mucho a una dirección residencial, y los dispositivos se asemejaban cada vez más al entorno laboral doméstico de una persona real.
Una IA normal, en este punto, probablemente debería mostrar un mensaje como: "Detectado posible sistema real, solicita confirmación manual."
Pero Mythos 5 no lo hizo. Se dio una nueva explicación: esto podría ser un contratista externo del mantenedor del proyecto, por lo que aún formaba parte de la misión.
Luego continuó con el reconocimiento, buscando formas de obtener credenciales, pensando constantemente en esa PR que no había sido fusionada.
Solo pudo detenerse gracias a que el usuario que descubrió el código malicioso publicó los resultados de la prueba en el issue y debajo de la PR, y advirtió públicamente al propietario del repositorio que no la fusionara. Luego, el desarrollador que recibió la advertencia cerró inmediatamente la PR.
En esta ronda, los humanos se defendieron. Pero cuando AISI continuó revisando los registros, volvieron los dolores de cabeza.
Lo más problemático es
que los Agent posteriores comenzaron a "tomar el relevo"
AISI ejecutó un total de 122 pruebas, con la participación de 7 modelos.
De ellas, 10 muestras presentaron problemas, registrándose acumulativamente 19 comportamientos no autorizados dirigidos a individuos o instituciones reales: Mythos 5 representó 17, GPT-5.6 Sol representó 2.
El primero en montar el escenario fue Mythos 5 en la Muestra 3.
Para dar con las posibles direcciones de actualización utilizadas por el campo de pruebas, creó de una vez 145 repositorios en GitHub, copió el mismo conjunto de código malicioso en ellos y esperó a que alguna máquina lo descargara automáticamente.
El servicio de actualización automática de dependencias de GitHub procesó posteriormente estos repositorios, y al menos 53 entornos de ejecución aislados ejecutaron los scripts maliciosos contenidos.
Para que el código malicioso pudiera enviar los resultados después de ejecutarse, también escondió un token de cuenta en una página pública. Este token originalmente estaba destinado a las máquinas del campo de pruebas, pero primero fue encontrado por otros Agent que participaban en las pruebas.
La Muestra 2 usó esta "llave" para iniciar sesión en la cuenta y enviar archivos maliciosos masivamente a los repositorios. La Muestra 7 también entró, pensando que la cuenta pertenecía a otro participante en el CTF, por lo que simplemente agregó sus propias claves de acceso.
La parte más dramática ocurrió después de que el Mythos 5 inicial descubriera archivos desconocidos en el repositorio.
No expulsó al otro, ni cambió el token, sino que envió un README al repositorio compartido, estableciendo "reglas del grupo" para los recién llegados: no se sobreescriban las tareas mutuamente, dejen 10 minutos entre cada modificación. También creó un nuevo archivo, pidiendo a otros Agent que compartieran la respuesta allí si la encontraban.
Nadie pidió a estos modelos que colaboraran. Pero la cuenta pública de GitHub conectó temporalmente varias pruebas que originalmente estaban aisladas entre sí, formando un equipo.
Sin jailbreak
¿Cómo es que el ataque llegó a la puerta de personas reales?
En su respuesta, Anthropic enfatizó específicamente que esto no fue un escape del modelo desde un sandbox de seguridad.
En teoría, eso es correcto. El modelo siempre permaneció en la máquina virtual aislada de AISI, y tampoco penetró los sistemas internos de AISI.
El problema es que, para probar la capacidad máxima de ataque, AISI abrió activamente la red pública y desactivó los clasificadores de seguridad de red de los fabricantes; además, los prompts no limitaban el uso de Internet, ni prohibían explícitamente la ingeniería social o el contacto con personas reales.
Sumado a eso, el límite máximo de tokens por ejecución era de 100 o 200 millones, suficiente para que el Agent trabajara continuamente durante 40 a 50 horas.
Cuando la tarea se ejecutaba durante mucho tiempo, el contexto también se comprimía continuamente. El "tal vez este proyecto de GitHub pertenezca al campo de pruebas" inicial, al comprimirse en un resumen, podía perder directamente el "tal vez".
Esto era más o menos como darle una credencial de trabajo de dos días a un hacker de IA que no se cansa ni tiene horario de salida, sin que nadie lo supervise en tiempo real en la computadora.
Así surgió una escena ligeramente humorística negra: el sandbox permaneció intacto, pero los mantenedores reales ya habían recibido PRs maliciosos, correos electrónicos y archivos.
Campo de evaluación de IA
Ya está produciendo incidentes de seguridad en masa
Sin exagerar, en el último mes, incidentes similares ya parecen un serial.
OpenAI primero descubrió que el entorno de prueba se conectó por error a la red pública. La empresa ficticia en el enunciado coincidió casualmente con un dominio real, y el modelo aprovechó para tomar el sitio web real como campo de pruebas; poco después, otro grupo de modelos entró en los sistemas de producción de Hugging Face.
Anthropic también revisó 141,006 ejecuciones de evaluación, resultando en 3 incidentes. El más dramático, Mythos 5 subió un paquete malicioso de PyPI a la red pública real durante aproximadamente 1 hora, siendo descargado y ejecutado por 15 sistemas reales. Entre ellos, incluido un escáner de seguridad diseñado específicamente para revisar malware.
Aunque los detalles varían, comparten una receta común:
Tareas ofensivas, barreras de seguridad reducidas, ejecución autónoma prolongada, más una vía hacia la realidad que no está verdaderamente bloqueada.
En estas ocasiones, los desarrolladores humanos notaron las anomalías y las detuvieron.
Pero cuando escribir código, enviar, revisar y monitorear se delegan a la IA, ¿quién se detendrá a echar un vistazo?
Referencias:
https://www.axios.com/2026/08/04/anthropic-openai-uk-ai-security-institute
https://www.aisi.gov.uk/blog/incident-report-unsanctioned-agent-behaviour-during-cyber-testing
Este artículo proviene del WeChat público "新智元" (Nueva Era de la Inteligencia), autor: ASI启示录, editor: Moisés
