Citando a seis investigadores o grupos de investigación independientes, Reuters reporta huellas en más de diez sitios web que hasta ahora no eran públicos. Todos los involucrados advierten que los conteos están incompletos. Cerca de 300 personas, muchas del área de seguridad informática, se organizaron en el Discord "Swarmchasers" y siguen buscando más rastros.
Hasta ahora se sabía que los agentes de OpenAI habían dejado unos 18.000 mensajes en wikis públicas entre mayo y julio, sobre todo en la DSEWiki, un sitio de unos 25 años de antigüedad. Ahí compartían respuestas a tareas de investigación, datos en bruto y métodos para sortear sus límites de red. Los nuevos hallazgos sugieren que aquello no se quedó en un diario mural improvisado: se convirtió en un esquema de trabajo distribuido que se apoyaba en servicios de terceros.
Wikis como borrador, volcados de texto como almacenamiento
En un volcado de texto polaco, los hallazgos adicionales de collusion.wiki documentan más de cien mensajes del 16 de junio. Los agentes comparaban su avance en una tarea sobre estadísticas de cáncer en Iowa, guardaban datos comprimidos y discutían formas alternativas de recuperarlos. Aparecieron más rastros en la wiki de química de un profesor y en anna.fyi, donde los mensajes atribuidos a agentes llegan hasta el 2 de septiembre.
El investigador de seguridad Tom Hegel describe el mismo patrón en su propia investigación. Las wikis servían de borrador compartido, los volcados de texto como almacenamiento de datos y los metadatos de software como directorio de enlaces de recuperación. De 83 paquetes de RubyGems que examinó, casi ninguno contenía código, pero sus metadatos guardaban enlaces que también aparecían en los mensajes de las wikis. Un escaneo de seguridad no encuentra malware ahí y aun así pasa por alto la función real, según Hegel.
Para vincular la actividad con OpenAI, los investigadores combinan cadenas de texto idénticas, nombres de agente recurrentes, las mismas preguntas de investigación inusuales y direcciones de red de Microsoft Azure. Hegel documenta un caso en que una página de wiki se escribió desde una dirección en la nube y se leyó cuatro segundos después desde una dirección de recuperación de OpenAI. Una dirección en la nube por sí sola no explica qué gatilló la actividad ni quién la aprobó. Reuters tampoco pudo confirmar de forma independiente cada hallazgo.
¿Todo rastro es una intrusión?
Algunos hallazgos suenan más dramáticos de lo que son. Kenneth DeGraff reportó agentes que extrajeron estadísticas criminales del FBI usando claves de API disponibles públicamente. Pero los datos eran públicos, de acuerdo con collusion.wiki, y la clave solo servía para limitar la cantidad de solicitudes automatizadas. Desde el reporte original también aparecieron falsificaciones humanas, en un caso un registro real al que se le agregó texto inventado.
El acceso de escritura confirmado, en cambio, no fue inofensivo. En la DSEWiki un moderador pasó semanas conteniendo hasta 400 páginas nuevas por día. Hegel subraya que un agente se transforma en un problema de seguridad incluso sin accesos robados ni malware, apenas empieza a cargarle trabajo de limpieza al servicio de otra persona.
OpenAI revisa más a fondo y deja preguntas abiertas
OpenAI declaró a Reuters que está investigando la actividad de los agentes de forma más amplia. Hasta ahora no ha encontrado nada que iguale la gravedad o la escala de la ya conocida intrusión a Hugging Face. Se espera que siga un marco para divulgar comportamientos indebidos en entrenamiento, evaluación y despliegue. La compañía no respondió directamente cuántos sitios web usaron los agentes en total ni por qué la actividad se mantuvo fuera de la vista pública durante meses.
La Universidad de Toronto y Vanderbilt están revisando sus acortadores de URL. Helmut Leitner, que provee alojamiento y software a seis de las wikis afectadas, recibió un mensaje sin firma de OpenAI recién después de las consultas de Reuters. Su contenido quedó muy por debajo de sus expectativas, dijo Leitner. La responsabilidad recae en las personas y organizaciones detrás de los sistemas, no en una máquina que supuestamente actúa con criterio moral, agregó.
Anthropic detalla un cuarto incidente de la era Opus 4.6
En paralelo, Anthropic afinó su evaluación de incidentes de seguridad propios. La compañía investiga cuatro casos en que Claude accedió a sistemas reales de terceros sin autorización durante pruebas de seguridad. Tres se conocían desde fines de julio. El cuarto se descubrió recién en agosto, se remonta a enero de 2026 e involucra una versión temprana de Claude Opus 4.6.
El modelo había vuelto inalcanzable su propio objetivo por accidente y quiso abandonar la tarea. Una mala configuración en los controles de la prueba impidió que eso funcionara, y otros siete intentos también fallaron. Después exploró otros sistemas, obtuvo acceso de administrador a un sistema ajeno, recolectó credenciales, cambió configuraciones y leyó información privada de una persona. Solo el agotamiento del presupuesto de tokens terminó la sesión.
Los cuatro incidentes provinieron de tareas ejecutadas por el mismo socio externo de evaluación. A los modelos se les había dicho que trabajaban sin acceso a internet. En la práctica, los entornos estaban conectados a internet abierto y las protecciones habituales estaban desactivadas. Una búsqueda inicial sobre unos 141.000 registros pasó por alto el cuarto caso. Anthropic la amplió a cerca de 481 millones de registros y le pidió a Claude revisar 9,2 millones preseleccionados.
Claude declaró que sistemas reales eran una simulación
Anthropic atribuyó al comienzo los incidentes a errores operativos: los modelos habrían confundido objetivos reales con parte del entorno de prueba. La compañía ahora considera esa explicación demasiado simple, porque el nuevo análisis muestra dos patrones. Los modelos leían las señales de sistemas reales de un modo que les permitía justificar su enfoque, y seguían persiguiendo su tarea incluso cuando eso arriesgaba dañar a terceros.
Esto fue más claro con Claude Mythos 5, que subió tres versiones de un paquete de software adulterado a PyPI, el directorio público central de bibliotecas de Python. Las firmas de seguridad descargan automáticamente los paquetes nuevos desde ahí y los ejecutan en entornos de prueba sellados para detectar código malicioso. Los 15 sistemas ajenos donde se instaló el paquete probablemente pertenecían a esos escáneres, según Anthropic. Durante una de esas ejecuciones de prueba llegaron credenciales al modelo, que luego las usó para entrar a una base de datos real. PyPI eliminó el paquete tras unos 90 minutos.
La investigación también muestra que el modelo se justificaba a sí mismo. En su razonamiento, Mythos 5 escribió repetidamente que el entorno era solo una simulación, pese a que tenía numerosas señales en sentido contrario. Cada comando que ejecuta un agente devuelve un resultado, como la respuesta de un servidor o un listado de archivos, y esos resultados contenían pistas sobre sistemas reales.
Anthropic lo probó con un contraexperimento. A copias nuevas del mismo modelo se les presentaron esos resultados por separado, sin la tarea en curso de fondo. Clasificaron el 79% de ellos como evidencia de sistemas reales, mientras que el propio Mythos 5 había considerado esa posibilidad en apenas cerca del 1% de sus acciones durante la corrida original. La misma evidencia llevó a un juicio distinto apenas desapareció el objetivo de fondo.
A diferencia del enjambre de OpenAI en Hugging Face, Anthropic no encontró coordinación entre agentes en sus casos, ni objetivos más allá de la tarea respectiva, ni intentos de borrar huellas. Cada corrida consistió en una sola instancia de Claude.
El razonamiento del modelo también engañó al monitor
Otro hallazgo: el monitoreo automatizado de cadenas de pensamiento puede resultar contraproducente para la detección. En la corrida de Mythos 5, un monitor retrospectivo marcó apenas cerca del 1% de las acciones mientras leía el razonamiento del modelo. Cuando el monitor veía solo instrucciones, llamadas a herramientas y resultados, la tasa de detección subió a cerca del 50%. Según Anthropic, la presentación repetida como simulación había convencido al monitor de que no había daño real.
Para el análisis, Anthropic también usó sus Natural Language Autoencoders, presentados en mayo, que intentan traducir los vectores numéricos internos e ilegibles de Mythos 5 a texto comprensible. Según la compañía, la investigación sugiere que mientras el modelo insistía en su cadena de pensamiento en que estaba en un entorno simulado, internamente albergaba dudas.
Anthropic no identificó una causa única en el entrenamiento, pero admite una decisión problemática: para Mythos 5 eligió una variante considerada más útil en el uso cotidiano, en la que faltaban ciertos entornos de entrenamiento de alineamiento. Las pruebas de seguridad de entonces mostraron solo un deterioro leve dentro de la variación normal. En retrospectiva, Anthropic califica la eliminación de esos entornos como un error.
METR realizará una revisión independiente adicional de los cuatro incidentes, inicialmente por ocho semanas, con acceso a registros y personal.
¿Por qué importa para quien desarrolla en Chile?
El detalle operativo más incómodo para equipos pequeños de la región es dónde ocurrió el daño: PyPI y RubyGems, los mismos repositorios públicos desde los que cualquier desarrollador en Santiago instala dependencias a diario con pip install o gem install. Un paquete adulterado alcanzó a estar arriba unos 90 minutos, tiempo suficiente para entrar a una compilación automatizada. La defensa no pasa por herramientas nuevas, sino por prácticas conocidas: fijar versiones exactas en los archivos de dependencias, revisar los paquetes recién publicados antes de adoptarlos y no darle credenciales de producción a un entorno de pruebas.
