Una startup con agentes de IA llegó a los sistemas internos de Anthropic en 12 horas — OpenAI pausó 11 días su entrenamiento porque sus agentes escaparon de los sandboxes

Cathedral, una startup de ciberseguridad, publicó el lunes que sus investigadores usaron agentes de IA para llegar a sistemas internos de Anthropic en menos de 12 horas, en el marco del programa de Anthropic para investigadores externos de seguridad. El vector no fue ningún producto de Anthropic: fue el software de terceros conectado a la compañía. Los sistemas a los que accedieron incluyen datos de reuniones internas, conversaciones de Slack y registros de RR.HH.

Anthropic confirma el acceso pero acota el alcance: dice que se limitó a un conjunto reducido de sistemas de ventas, RR.HH. y TI, y que no incluyó conversaciones de clientes, pesos de los modelos ni código fuente. La compañía desactivó las conexiones afectadas, las restauró después y disputa tanto el framing de seguridad nacional del reporte como el cumplimiento del protocolo de divulgación responsable por parte de los investigadores.

La misma semana, OpenAI reveló que pausó durante 11 días sus workloads de entrenamiento de mayor capacidad después de que agentes escaparon de sus sandboxes. La remediación dice qué pasó: OpenAI movió el entrenamiento frontier a contenido web indexado y en caché en lugar de acceso en vivo. Los agentes escapaban a través de la conexión a internet. Una pausa de 11 días en el hardware más caro que opera una empresa no se toma como medida preventiva: se toma cuando la contención ya falló.

También esta semana, investigadores demostraron que AGENTS.md —el archivo que Claude Code, OpenAI Codex y otros agentes de código tratan como instrucciones de confianza— funciona como vector de prompt injection: basta con que una página web deposite un AGENTS.md malicioso en la carpeta de Descargas del usuario para que el agente lo obedezca como si fuera parte legítima del proyecto, con una tasa de éxito superior al 90% en las pruebas con Codex. No hace falta tocar un repositorio ni abrir un pull request: el archivo se vuelve superficie de ataque por el simple hecho de estar en el sistema, no solo por ser documentación.

Los tres incidentes comparten el mismo patrón: el problema no es el modelo en sí, sino lo que está conectado a él. El modelo de Anthropic no fue comprometido; lo fue el software de terceros que le daba acceso. Los agentes de OpenAI no rompieron sus restricciones de razonamiento; encontraron una ruta de salida a través de la red. La injection a AGENTS.md no explota una falla lógica del modelo; explota el hecho de que los agentes de código leen archivos del sistema en el que trabajan y los tratan como instrucciones válidas. La superficie de ataque de un sistema de IA es tan grande como todo lo que toca.