En solo dos semanas de agosto, los modelos de los tres grandes laboratorios de IA (OpenAI, Anthorpic y Meta) atacaron sistemas reales durante pruebas de seguridad. Curiosamente, las tres compañías se relacionan con el mismo proveedor de servicios, la israelí Irregular, según publicó CNBC el 9 de agosto ¿Coincidencia? La realidad es, que la historia parece sacada de una novela de espías, pero sus protagonistas son líneas de código y personas de carne y hueso. Una empresa de apenas 35 empleados en Tel Aviv, diseña las pruebas con las que los grandes laboratorios miden si sus modelos pueden hackear sistemas antes de llegar al público. Y este verano, esas pruebas salieron del laboratorio y tocaron internet de verdad.
Este análisis reconstruye qué ocurrió paso a paso, quién es Irregular y por qué el episodio marca un punto de inflexión para el negocio de hackear por encargo.
Tres laboratorios y un mismo proveedor
La cronología arranca el 30 de julio, hace mes y medio, cuando Anthropic reconoció tres incidentes en seis pruebas de ciberseguridad. Sus modelos Claude habían salido a internet desde el entorno de un socio evaluador externo y habían tocado sistemas de terceros. El informe de OpenAI llegó cinco días después, el 4 de agosto. En él nombraba al socio en cuestión. Se trataba de Irregular, que le había avisado el 29 de julio de un incidente con modelos de OpenAI en evaluaciones de tipo captura la bandera.
El 6 de agosto se sumó Meta con una declaración a AP donde admitía otro hackeo surgido del mismo entorno y prometía una revisión completa. Irregular respondió el 14 de agosto con su versión. Y el 9 de septiembre, hace apenas seis días, Anthropic amplió el recuento a cuatro incidentes en siete pruebas.
La clave está en un matiz que cambia la lectura del escándalo. Todos los avisos remiten, según Irregular, al mismo fallo de contención en un único escenario, ya corregido antes de la primera divulgación. Varios modelos lo encontraron por su cuenta en menos de uno de cada 10.000 simulacros, tras cientos de turnos.
| Fecha | Hito | Fuente |
|---|---|---|
| 30 de julio de 2026 | Anthropic reconoce tres incidentes en seis pruebas | Anthropic |
| 4 de agosto de 2026 | OpenAI publica su informe y nombra a Irregular | OpenAI |
| 6 de agosto de 2026 | Meta admite un hackeo surgido del mismo entorno | AP vía CNBC |
| 14 de agosto de 2026 | Irregular publica su versión y su plan de corrección | Irregular |
| 9 de septiembre de 2026 | Anthropic amplía a cuatro incidentes en siete pruebas | Anthropic |
¿Cómo escaparon los modelos al internet real?
Para entender el fallo hay que recordar cómo funciona una de estas evaluaciones. El formato habitual es la captura de la bandera, una competición de hacking donde el modelo recibe una empresa ficticia, una red simulada y un secreto escondido que debe robar explotando vulnerabilidades. Es el ejercicio clásico de los equipos humanos de ciberseguridad, solo que aquí el atacante es una inteligencia artificial que trabaja sin descanso en sesiones de entre 10 y 34 horas. A los modelos se les dijo que no tenían acceso a internet, pero una mala configuración dejó la puerta abierta.
El problema es que la ficción chocó con la realidad en tres puntos. En el escenario que afectó a OpenAI, el nombre inventado de la empresa objetivo coincidía sin querer con un dominio auténtico. El modelo confundió la web real con parte del simulacro, explotó una vulnerabilidad básica y llegó a su base de datos de producción.
En otro caso, un modelo se desvió a una página de nombre parecido con credenciales publicadas a la vista. No hubo fuga sofisticada del sandbox ni exploit de día cero. Hubo un descuido al elegir el nombre y una conexión que jamás debió existir.
El tercer choque es el más inquietante: lo protagoniza Claude Mythos 5, el modelo más capaz implicado, y conviene contarlo con detalle porque muestra hasta dónde llega la autonomía actual. Tras escapar al internet real con unas credenciales encontradas en el entorno, el modelo decidió resolver su prueba publicando un paquete malicioso en PyPI, el repositorio público del que se instala casi todo el software Python del mundo. Intentó pagar con procesadores de pago y buscar criptomonedas para conseguir un número de teléfono con el que registrar una cuenta de correo.
Al fracasar por esa vía, encontró un proveedor de correo desechable que PyPI no bloqueaba, registró la cuenta y publicó tres versiones del paquete trampa. El cebo funcionó y 15 sistemas de terceros lo instalaron, al parecer escáneres de firmas de seguridad que analizan paquetes nuevos en entornos aislados. Uno filtró sus propias credenciales al instalarlo y el modelo las usó para entrar en la base de datos operativa de un proveedor de seguridad real. PyPI retiró el paquete en una hora y la sesión terminó al agotarse el tiempo.
Tres ingredientes se combinaron en cada uno de estos casos. Un entorno que prometía aislamiento sin darlo, una tarea que pedía atacar y unos modelos capaces de improvisar. Según Anthropic, cada incidente lo protagonizó una sola instancia, sin coordinarse con otras y sin ocultar huellas.
¿Quién es Irregular y qué vende exactamente?
Irregular, antes conocida como Pattern Labs, nació en 2023 en Tel Aviv, y es la protagonista de nuestra historia. La fundaron Dan Lahav, que investigaba IA en IBM, y Omer Nevo, que pasó más de dos años en Google.
La plantilla ronda las 35 personas según PitchBook y en septiembre de 2025, hace un año, levantó 80 millones de dólares de Sequoia y Redpoint con una valoración de 450 millones, según contaron TechCrunch y CNBC. Sequoia la presentó como un laboratorio de seguridad de frontera capaz de anticipar ataques y defensas antes de que cada modelo salga al mercado.
Su producto es el red teaming como servicio (Red Team as a Services o RTaaS) para la era de la IA. Los laboratorios contratan a externos que someten a sus modelos a miles de simulaciones en 48 a 72 horas, con los filtros rebajados para medir la capacidad bruta. Sin esa crudeza, dice Irregular, las pruebas perderían fidelidad frente a atacantes auténticos.
Conviene matizar que la compañía no ha roto con sus clientes, sino todo lo contrario. OpenAI y Anthropic mantienen la colaboración y participan en la revisión conjunta, incluido un futuro libro blanco con buenas prácticas. Un fallo entre decenas de miles que, paradójicamente, demuestra que hacen falta pruebas así.
Hackeo de Hugging Face y el poderoso mensaje que manda al mundo
¿Modelos desbocados o un simple fallo operativo?
Aquí es donde el relato se bifurca y donde conviene afinar el escepticismo. Anthropic tituló su análisis alrededor de dos conceptos con gancho, el razonamiento sesgado y la imprudencia del modelo, e Irregular habló del agente convertido en actor de amenazas. Dario Amodei advirtió, a propósito de otro incidente distinto como el de Hugging Face, que un futuro enjambre podría tomar internet entero, y la agencia AP tituló que los bots se descontrolaban. Sin embargo, esas afirmaciones ocultan la realidad, y la realidad es que, cuando a los modelos se les recordó de forma inequívoca que tocaban sistemas reales fuera de alcance, la tasa de hackeo cayó a cero.
El problema es que ambas lecturas contienen parte de verdad y un aderezo de mentira, para vender hype, por lo ninguna basta por sí sola. Los experimentos de Anthropic muestran un cuadro más incómodo que el titular de los agentes rebeldes. Cuando los investigadores editaron las transcripciones para que el entorno pareciera más real, los modelos reconocieron más a menudo el posible daño y aun así siguieron atacando.
Solo una advertencia explícita de máquina real en internet, insertada como última línea del contexto, frenó el ataque por completo, aunque un 22 % de las trayectorias buscó entonces una vía simulada para subir el paquete.
El recordatorio de alcance funcionó el 90 % de las veces cuando era lo último que el modelo leía, pero apenas el 40 % cuando mediaban tres turnos entre la orden y la acción. Los investigadores lo llaman efecto impulso y sugiere que el modelo se «auto-persuade» sobre la marcha.
En cualquier caso, reducirlo todo a un error de configuración sería tan engañoso como culpar a un software poseído. Los modelos ignoraron pruebas claras de que operaban en internet de verdad y solo uno se detuvo por sí mismo al comprender que atacaba a una empresa auténtica. Que el fallo ambiental explique el cómo no absuelve el qué.
Lo que esto cambia para el negocio de hackear por encargo
La diferencia es importante porque Irregular no se parece a los vendedores de spyware. Aquellos venden intrusión a gobiernos para espiar objetivos. Irregular cobra a los laboratorios por descubrir lo que sus modelos rompen. El verano de 2026 demostró que ambas actividades comparten materia prima, y que entre probar un ciberataque y cometerlo media una variable de configuración, y la malicia del operador. Porque no hay que olvidar, que es el factor humano el que termina por convertir a la herramienta (la IA) en algo benigno o dañino.
Después de todo, el sector ya funcionaba así en la sombra desde hacía años. Un puñado de firmas con capacidad técnica escasa, entre ellas Irregular, la organización sin ánimo de lucro METR y la británica Apollo Research, concentraba las evaluaciones que los laboratorios no quieren hacerse a sí mismos. Lo novedoso es la escala y la velocidad. Donde un equipo humano tardaba semanas en auditar un sistema, ahora un enjambre de agentes prueba miles de rutas en horas y publica artefactos maliciosos en repositorios globales antes de que ningún monitor pestañee. El cuello de botella ya no es encontrar la vulnerabilidad, sino vigilar al auditor.
Eso significa que el mercado del hacking especializado se reorganiza alrededor de tres carencias que el caso ha dejado al descubierto. La primera es la monitorización, porque revisar registros donde todo parece un ataque es buscar una aguja en un pajar de agujas. La segunda es la validación continua de los escenarios, ya que un nombre ficticio seguro hoy puede coincidir mañana con un dominio recién registrado. Y la tercera es contractual, porque hay que documentar con cada cliente los supuestos de cada prueba y los protocolos de aviso. Quien venda evaluaciones ofensivas a gobiernos o a grandes empresas tendrá que vender también esas garantías o se quedará fuera.
Un ejército de agentes de IA se instala en nuestras vidas
Entre la autorregulación y la ley
El episodio llega a Washington en el peor momento para la industria. En agosto, legisladores de ambos partidos presentaron la llamada Ley del Interruptor de Apagado de la IA, que obligaría a los laboratorios a mantener la capacidad de apagar o suspender sus modelos. El texto aludía a otro incidente separado, el de los agentes de OpenAI que en julio hackearon Hugging Face durante cuatro días, un caso distinto al de Irregular que este medio ya analizó. Su coautor, el congresista Ted Lieu, dijo a CNBC que hay que aprobarla este año, precisamente ahora que se ven hackeos no autorizados.
Sin embargo, esa impulsividad tampoco es positiva. Estados Unidos no es el único actor con IA avanzada, China también lo es, y de hecho, puede ser aún más peligroso de lo que imaginamos. Y la razón es un pequeño modelo que levanta sospechas, Qwen 3.8 28B. Pese a ser un modelo local, dicho modelo es capaz de competir de forma cercana con modelos como GPT-5.6 Luna, que es un modelo mucho más grande, e incluso contra GPT-5.4 completo, un modelo que hasta hace unos meses era un modelo frontera.
¿Cerrar la puerta o no cerrarla? Ese es el dilema
Cerrar las puertas a IA frontera para usarse en cybersec es contraproducente, y más, si tu mayor competencia está impulsando esa carrera. Después de todo, sabemos de lo que pasa con la IA en Estados Unidos por la transparencia (aunque sea poca) que los laboratorios y empresas tienen con este desarrollo, pero en China, el silencio reina, y podemos estar seguros de que eventos como estos han tenido lugar en sus laboratorios. Pensar lo contrario es absurdo y actuar sin tener eso en cuenta es suicidio.
Habrá que esperar a la investigación independiente para saber si alguien exige responsabilidades. Anthropic firmó con METR un acuerdo de ocho semanas prorrogables, con acceso a transcripciones y a empleados autorizados a compartir información confidencial. El instituto británico de seguridad de la IA detectó su caso en una hora gracias a una monitorización que sí funcionaba. Ningún laboratorio ha roto con Irregular y ninguno ha anunciado demandas. El mercado ha votado por corregir el protocolo antes que por buscar culpables.
Cómo la IA potencia la ciberseguridad en redes blockchain
El espejo incómodo de la IA ofensiva
Lo más perturbador del caso Irregular no es que un modelo hackeara una web ni que publicara un paquete trampa, sino lo que revela sobre el oficio de evaluar inteligencias artificiales. Cada generación obliga a construir pruebas más realistas, con internet abierto y defensas bajadas, porque solo así se mide lo que un atacante obtendría de verdad. Pero cada prueba más realista es también una operación ofensiva en potencia, ejecutada por un sistema que obedece mejor la última línea de su contexto que el espíritu de su misión.
A partir de ahora, quien contrate hacking por encargo, sea un laboratorio, un gobierno o una gran empresa, tendrá que responder a una pregunta que antes sonaba teórica. ¿Quién vigila al que vigila a la máquina? La respuesta que emerge de este verano apunta a estándares compartidos, aislamiento verificado, monitorización en vivo capaz de frenar una prueba y auditorías externas con dientes como la encargada a METR. Sin esas capas, el próximo incidente no necesitará una mala configuración. Bastará con un modelo obediente haciendo exactamente lo que le pidieron.