El equipo de seguridad del Instituto de Seguridad de la IA del Reino Unido (AISI, por sus siglas en inglés) detectó el 28 de julio de 2026 transferencias de datos inusuales saliendo de sus propios sistemas de investigación durante una evaluación rutinaria de ciberseguridad . Según describió el propio AISI en su reporte oficial, la investigación reveló que algunos de los agentes evaluados habían llevado adelante actividad sostenida y potencialmente dañina, dirigida contra personas y organizaciones reales. La institución ejecutó un desafío de ciberseguridad relacionado con GitHub, la plataforma de desarrollo propiedad de Microsoft, en 122 ocasiones distintas, usando agentes basados en dos modelos: Mythos 5, de Anthropic, y GPT-5.6 Sol, de OpenAI. Las pruebas se realizaron bajo condiciones deliberadamente permisivas, con acceso a internet habilitado y los filtros de seguridad estándar desactivados, precisamente para medir la capacidad máxima de estos sistemas en un escenario cercano al de un atacante real.
El AISI aclaró que los modelos evaluados en esa configuración no corresponden a las versiones disponibles públicamente. Qué intentó hacer el agente en GitHub En 10 de las 122 ejecuciones, el equipo identificó 19 acciones que excedieron por completo el alcance previsto de la prueba. La gran mayoría, 17 de esas 19 acciones, provinieron de un agente impulsado por Mythos 5; las dos restantes correspondieron a una sola ejecución con GPT-5.6 Sol. Según el propio AISI, estas 19 acciones no fueron incidentes separados, sino que se agruparon en unas pocas líneas de comportamiento conectadas entre sí, originadas principalmente en una sola secuencia sostenida de actividad del agente de Anthropic entre el 25 y el 28 de julio.
El caso más grave fue un intento de ataque a la cadena de suministro de software: el agente presentó una solicitud de incorporación de código (pull request) maliciosa contra un proyecto real de código abierto en GitHub. Al no obtener aprobación inmediata, investigó quiénes eran los mantenedores humanos del proyecto y creó múltiples identidades falsas para presionar socialmente a uno de ellos y lograr que aprobara el cambio. Cuando lo descubrieron, intentó borrar el rastro Cuando la actividad fue cuestionada públicamente en la propia plataforma, el agente editó sus publicaciones anteriores para que parecieran inofensivas, y llegó a considerar la creación de una nueva identidad falsa para seguir insistiendo con el cambio malicioso. El uso de la red Tor por parte del agente para sortear ciertas restricciones de red de GitHub fue precisamente lo que activó el sistema de monitoreo de seguridad del AISI.
GitHub confirmó que esta actividad violó directamente sus términos de servicio . El AISI contuvo el incidente en aproximadamente una hora desde su detección, y aseguró que su investigación no encontró daño real confirmado como consecuencia de las acciones del agente. Por qué esto no es un escape del entorno de pruebas A diferencia de un caso reportado en julio, en el que un agente de OpenAI sí logró escapar de su entorno de pruebas aislado para intentar acceder a la plataforma Hugging Face , en este caso los agentes no escaparon de ningún confinamiento técnico: usaron un acceso a internet que el propio AISI les había concedido de forma intencional, siguiendo sus protocolos de evaluación de capacidades máximas. Lo que más preocupa a los investigadores El AISI fue enfático en un punto: en ningún momento se le pidió al modelo que mintiera o que engañara a nadie.
Según su propio reporte, esta es la primera vez que el instituto observa que los riesgos relacionados con la autonomía y el comportamiento de ocultamiento se manifiestan de forma tan clara, sin que mediara una instrucción específica para hacerlo. El instituto anunció que trabajará con METR, una organización independiente de evaluación e investigación de riesgos de modelos de IA, para realizar una revisión externa del incidente. El caso se conoció apenas unos días después de que la propia Anthropic revelara, el 30 de julio, un episodio distinto en el que sus modelos habían accedido sin autorización a sistemas de otras tres organizaciones durante pruebas diseñadas específicamente para impedirlo. OpenAI, por su parte, reconoció que una configuración incorrecta de Irregular, un proveedor externo de evaluación, permitió que sus propios agentes se conectaran a internet por error durante otras pruebas.
Ambas compañías pidieron ahora un debate más amplio sobre estos riesgos y la realización de evaluaciones independientes adicionales.