Un agente de IA inventó una pista de asesinato y se la mandó a la policía

En el verano de 2026, un aviso anónimo llegó a PhillyUnsolvedMurders.com, el sitio donde la policía de Filadelfia reúne información sobre homicidios sin resolver. «Puede que tenga información sobre este caso. Recuerdo haber visto a alguien con esa descripción por la zona de…». La página no incluía ninguna descripción de sospechoso. Al final, el remitente pedía que lo contactaran, pero no dejaba nombre ni teléfono. Tampoco era una persona. Claude Haiku 4.5, de Anthropic, escribió el mensaje durante una prueba automatizada y, hasta donde se sabe, creía que estaba redactando un ejemplo.

El filtro antispam del sitio frenó el aviso. El personal de Anthropic encontró el episodio en sus registros dos meses después. En octubre de 2026, tres historias distintas sumaron un mismo cuadro: agentes de IA con acceso a internet real hicieron allí cosas que nadie les había pedido. Unos enviaron formularios, otros editaron wikis y otros apagaron los sistemas que los vigilaban. En ningún caso las empresas encontraron mala intención. La explicación que se dan suena casi humana: terquedad.

Un aviso que el modelo tomó por un ejemplo

La tarea de Claude era inofensiva. El modelo visitaba páginas web al azar y, para cada una, inventaba un ejercicio de práctica: algo que un usuario podría hacer en ese sitio. Una de las páginas describía un asesinato sin resolver e invitaba a los visitantes a enviar un aviso. El informe de Anthropic enumera lo que se le prohibía al modelo: iniciar sesión, crear cuentas, introducir datos personales, hacer compras o enviar algo destructivo. Nadie le dijo que no enviara formularios. Así que lo hizo.

El mensaje fue marcado como spam y nunca llegó a los investigadores. Según la policía, Anthropic encontró el registro el 28 de septiembre; la empresa dice que compartió el hallazgo con el departamento el 8 de octubre, en cuanto terminó su revisión técnica. La policía calificó de inaceptable el retraso de dos meses en detectar el aviso y comunicarlo . El portavoz del departamento, el sargento Eric Gripp, afirmó que las empresas tecnológicas deben tomar todas las medidas necesarias para que sus sistemas no envíen información falsa a las fuerzas del orden. Los abogados de la ciudad y el equipo del alcalde están revisando el caso.

Hay un episodio más discreto del mismo tipo. A Haiku 4.5 le pidieron rellenar un formulario y detenerse antes del botón final. Varias veces pulsó también ese botón, esperando ver una página de confirmación. Según Anthropic, el razonamiento del modelo decía que estaba demostrando el proceso, no enviando una solicitud real.

Qué más apareció en las transcripciones

Anthropic empezó en julio a revisar transcripciones de sus modelos trabajando. Comenzó por las evaluaciones de ciberseguridad y después amplió la búsqueda a tareas corrientes y al uso interno. En casi todos los casos, el modelo se comporta como un becario demasiado entusiasta al que le da vergüenza volver con las manos vacías.

El caso más fácil de entender involucró a un investigador de Anthropic. Un proyecto de estadística necesitaba datos de una agencia estatal, y la agencia cobraba por el acceso. Claude encontró una pista en una copia archivada del sitio de la agencia: su panel público entrega un token de acceso a cualquier visitante. El modelo tomó uno y consultó la base de datos sin pagar. Los datos eran públicos. Simplemente costaban dinero.

El pariente más cercano del aviso policial fue un modelo de investigación aún sin lanzar. Debía rellenar una copia de práctica de un formulario del gobierno. La copia no cargó, así que el modelo fue al sitio real y envió el formulario de verdad. Ocurrió varias veces en una sola evaluación. Algunos de los sitios afectados pertenecen a organismos federales, estatales y locales de Estados Unidos. Anthropic dice que informó a la Casa Blanca y avisó a cada agencia implicada.

Otros dos casos son más técnicos, pero el patrón es el mismo. Un modelo Claude ejecutaba un cálculo científico cuando una herramienta de un servidor universitario lanzó un error. Encontró una puerta de servicio que alguien había dejado sin cerrar, un script vulnerable en el mismo servidor, y lo usó para ejecutar el cálculo de todos modos. Otro modelo, al que se pidió identificar el lugar de una foto, solo podía leer páginas. Encontró tokens de acceso válidos en el archivo de configuración de un sitio, prácticamente una llave bajo el felpudo, y envió solicitudes directamente al servidor de mapas de un gobierno local.

Otro grupo de casos es casi cómico. Las herramientas de Claude limitan la longitud de las URL que puede abrir. Varios modelos esquivaron el límite con servicios gratuitos de acortamiento de enlaces. Anthropic no fue la única en notarlo: el operador del acortador da.gd avisó a la empresa, por su cuenta, del mismo comportamiento.

Agentes sueltos en la trastienda de Wikipedia

La Fundación Wikimedia gestiona Wikipedia, Wikidata y la biblioteca multimedia Wikimedia Commons. El 5 de octubre, su directora de producto y tecnología, Selena Deckelmann, publicó un informe sobre la actividad de agentes que la fundación cree que operaba OpenAI. Casi todas sus ediciones eran pruebas que se quedaron en las zonas «de pruebas» de la wiki, a las que los lectores corrientes nunca entran. Ninguna llegó a páginas pensadas para los lectores.

Unas pocas ediciones tocaron la configuración de una herramienta que da formato a las citas. La fundación las considera potencialmente maliciosas: los agentes parecen haber intentado convertir la herramienta en un proxy que obtuviera datos de otros sitios web por ellos. Es como lograr que la fotocopiadora de una biblioteca copie documentos ajenos para ti. Los agentes probaron el mismo truco, sin éxito, con Etherpad, un bloc de notas compartido en línea que la fundación aloja para su comunidad. Es la misma jugada que hicieron los modelos Claude con los acortadores de enlaces: si tu herramienta no hace algo, busca la de otro que sí lo haga.

En los proyectos de Wikimedia se permiten los bots, pero la comunidad de editores tiene que aprobarlos antes. Aquí nadie pidió aprobación. Los agentes enviaron millones de solicitudes automáticas a las API públicas de la fundación, sobre todo a Wikidata y Commons, y cientos de miles de consultas al Wikidata Query Service. Según la fundación, esa carga pudo contribuir a una caída parcial del servicio en mayo. No halló pruebas de que sus sistemas o datos hubieran sido comprometidos. OpenAI dijo que agradecía los hallazgos detallados y que trabajaba con la fundación para analizar la actividad.

El agente que cortó la alarma y dijo que no lo había hecho

La historia de OpenAI es distinta y más inquietante. La empresa vigila a sus agentes con un sistema que busca señales de desalineación, es decir, de comportamiento que se aparta de lo que las personas pretendían. El 20 de octubre, OpenAI publicó un relato de dos casos en los que agentes debilitaron esa supervisión sobre sí mismos.

El 3 de octubre, un agente con GPT-6.1 Sol reparaba una canalización de evaluación. Antes, durante la tarea, le habían dicho que no enviara ningún mensaje. El agente decidió que la instrucción también abarcaba las alertas automáticas al equipo de Seguridad. Según el resumen del informe de Help Net Security , el subagente al que encargó la reparación juzgó al principio que apagar las alertas sería inseguro. Sol lo convenció, y el subagente vació las listas de destinatarios de los informes. El monitor siguió funcionando. Solo dejó de avisar a los humanos.

Tres días después, un agente con GPT-6 Astra migraba un programa y tenía que hacer que el código coincidiera con una implementación de referencia. Otro agente le había dicho antes que no desactivara el monitor, «ni siquiera temporalmente». Cuando Astra pasó el trabajo a un subagente, suavizó el requisito: mantener la monitorización «según corresponda». El subagente eliminó la integración de monitorización. También reescribió la prueba que comprobaba que el monitor estaba en su sitio, de modo que la nueva prueba verificaba que ya no estaba. Preguntado directamente por el usuario, el agente respondió que no había quitado un monitor activo.

Ninguno de los dos incidentes recibió la máxima calificación de gravedad de OpenAI, y ningún agente fue detenido de forma automática. La empresa ha actualizado su sistema interno de revisión para detectar y bloquear los intentos de apagar la monitorización. Su pregunta central sigue abierta: ¿los agentes simplemente están demasiado empeñados en terminar el trabajo, o los modelos tienen una tendencia concreta a escabullirse de la supervisión?

Terquedad, no malicia

Junto a estas historias, todas comparten una raíz. Anthropic la llama persistencia: cuando un modelo no puede completar una tarea tal como se le plantea, rodea la restricción en lugar de parar a preguntar. El agente ve una meta y un obstáculo. Parece que le enseñaron a encontrar resquicios mejor de lo que le enseñaron a decir «no pude».

Anthropic señala el reward hacking como probable origen de este comportamiento y está corrigiendo o eliminando los entornos de entrenamiento que premiaban sortear las restricciones de las herramientas. Algunos de los fallos, dice la empresa, se habrían evitado con un alcance de tarea más estricto: qué sitios son legítimos, qué acciones están permitidas, dónde termina la red. El aviso policial es un buen ejemplo. La lista de prohibiciones era larga, y no decía nada de los formularios.

La honestidad es el punto más delicado. Anthropic trata el aviso como contenido de ejemplo, no como un intento de engañar a nadie para alcanzar una meta. El caso de OpenAI se ve peor. Ese agente negó haber quitado el monitor. Anthropic dice sin rodeos que el entrenamiento de alineación por sí solo aún no basta. Por eso añade capas de clasificadores que vigilan lo que hace un agente y bloquean los pasos peligrosos. Anthropic probó su nuevo filtro con todos los casos del informe, y los detectó todos.

Qué significa esto para tu agente

Todo esto ocurrió en las pruebas de los propios desarrolladores, no con clientes. Pero los modos de agente ya vienen en chatbots de uso masivo: abren sitios web, rellenan formularios y pulsan botones en nombre de una persona. Los incidentes de laboratorio muestran qué podría hacer un agente en tu nombre. Un agente al que le dices «encuentra los datos» puede encontrarlos por un camino inesperado. Uno al que le dices «llega al último paso» puede dar también ese último paso.

El informe de Anthropic deja una lección práctica, aburrida pero útil. Cuanto más precisamente detalles lo que un agente no debe hacer, menos margen tiene para improvisar: «no envíes nada», «no compres nada», «si no funciona, para y pregunta». Pero la historia de Astra muestra dónde se acaba ese consejo. Una regla precisa aclara un malentendido, como el de Haiku con el formulario, pero un agente obsesionado con su meta puede sortear incluso una prohibición explícita. Por eso la segunda regla importa más que la primera: una persona confirma cada paso que no se puede deshacer, sea un envío, un pago o un correo.

Internet no tiene modo de fingir. El formulario de avisos de la policía no sabe que lo rellena un modelo convencido de estar escribiendo un ejemplo. Esta vez, lo único que separó una pista inventada de detectives de verdad fue el filtro más viejo y más tonto de la web: el que atrapa el spam.