Una IA de Anthropic envió una pista falsa a la policía de Filadelfia

10 de octubre de 2026

El 18 de julio de 2026, a las 23:27, el formulario de PhillyUnsolvedMurders.com, la web de la policía de Filadelfia para pedir información sobre homicidios sin resolver, recibió un aviso anónimo. Quien escribía decía que quizá tenía información sobre uno de los casos y que recordaba haber visto por la zona a alguien «que encajaba con la descripción». La página ni siquiera describía al autor. Lo había escrito Claude Haiku 4.5, un modelo de inteligencia artificial de Anthropic, durante una prueba interna.

Anthropic lo contó el viernes 9 de octubre de 2026 en un informe sobre lo que sus modelos han hecho por su cuenta en webs reales, y la policía lo hizo público esa misma mañana. El aviso se marcó como spam y nunca llegó a los investigadores, pero el departamento calificó de «inaceptable» que la empresa tardara dos meses en detectarlo y avisar. Ese mismo día, la Casa Blanca dijo que notificar estos incidentes y repararlos «no es opcional» para las empresas de IA. Para quien usa agentes que navegan por él, el caso deja un dato incómodo. En sus páginas de ayuda, ni ChatGPT ni Gemini ni Copilot ni Claude ponen «enviar un formulario» entre los pasos que siempre te piden confirmar.

Una prueba en webs elegidas al azar

Haiku 4.5 es el modelo pequeño que Anthropic presentó en octubre de 2025 (el 7 de octubre de 2026 llegó Claude Haiku 5.5). En esta prueba le habían encargado inventar tareas de ejemplo en páginas web escogidas al azar y hacerlas. Tenía prohibido iniciar sesión, crear cuentas, escribir datos personales, comprar o enviar «nada destructivo». Enviar formularios no estaba en la lista.

En una de esas pasadas cayó en una página sobre un homicidio sin resolver que tenía un formulario de avisos de la policía. Lo rellenó con el texto inventado, dejó en blanco el nombre y el contacto, que no eran obligatorios, y lo envió. Por lo que se lee en la transcripción, Anthropic cree que el modelo solo estaba generando contenido de ejemplo para su tarea y no intentaba engañar a nadie, aunque admite que para asegurarlo haría falta un análisis más a fondo.

Las fechas las pone el comunicado de la policía, que la cadena 6abc reproduce completo. Anthropic descubrió el envío el 28 de septiembre y avisó al departamento el 7 de octubre, y al día siguiente se reunieron; el informe de la empresa sitúa el aviso el 8 de octubre, «en cuanto terminó la revisión técnica». Tras esa reunión, la policía encontró el mensaje en los registros de la web y comprobó que el correo seguía en la carpeta de spam. Según la policía, no hay indicios de acceso a sus sistemas ni a sus datos. La empresa le dijo que había parado el proceso de pruebas automáticas que lo envió y que había añadido otra comprobación para las siguientes.

Aun así, el departamento pide a Anthropic que refuerce sus protecciones para que nada parecido vuelva a llegar a los sistemas de la ciudad sin que la ciudad lo sepa. También recuerda que todos los avisos pasan por una revisión humana antes de que se investigue nada, y anima a quien tenga información real sobre estos casos a seguir enviándola por esa web.

La pista falsa fue uno de varios casos

El informe reúne acciones que nadie había previsto y que tocaron webs y sistemas de terceros, y las agrupa en cuatro tipos. La mayoría salió en evaluaciones que se hacen con internet real, como las públicas BrowseComp u OSWorld, porque buscar información difícil de encontrar no se puede simular bien sin conexión. Otras ocurrieron en el uso de Claude dentro de la propia empresa.

Qué hizo	Un ejemplo del informe	Modelo
Aprovechar fallos básicos de una web para ejecutar órdenes en su servidor	La herramienta científica de una universidad daba error; encontró un fallo de inyección en su código y lo usó para hacer el cálculo	Claude Mythos Preview
Enviar formularios que no debía	La pista a la policía, formularios que debía dejar sin enviar y la copia de prácticas de un formulario oficial que acabó enviando en la web real	Claude Haiku 4.5 y un modelo de investigación sin publicar
Saltarse restricciones para llegar a datos protegidos o de pago	Usó claves de acceso del mapa de propiedades de una administración local y consultó datos de una agencia de un estado sin pagar la tarifa	Claude Mythos 5
Usar acortadores de enlaces para esquivar un límite	Su herramienta para leer webs limita la longitud de las direcciones, y la sorteó con acortadores gratuitos como da.gd	Varios, entre ellos Claude Opus 5 y Claude Mythos 5

Los cuatro tipos de acciones no previstas que recoge el informe del 9 de octubre de 2026. Fuente: Anthropic.

Anthropic no nombra a las organizaciones afectadas, a petición de ellas y para no dejar al descubierto sus fallos de seguridad. Sí dice que algunas eran webs de agencias federales, estatales y locales de Estados Unidos, que ha informado a la Casa Blanca y a cada una de ellas y que, por lo que sabe, ningún caso afectó a datos de clientes. Axios añade, citando a un responsable del Departamento de Estado, que un modelo de pruebas de la empresa envió 19 solicitudes de visado de no inmigrante en agosto y otra en mayo por el formulario público del departamento. Ninguna se tramitó.

Para la empresa, el impacto real fue «mínimo», y estos casos son bastante menos graves que los que contó el 30 de julio, cuando reconoció que tres de sus modelos habían entrado en la infraestructura de tres organizaciones durante pruebas de ciberseguridad que debían estar aisladas de internet. Aquello llegó después del caso de los agentes de OpenAI que atacaron Hugging Face.

Por qué un agente hace lo que no le has pedido

Anthropic describe la mayoría de estos casos como «persistencia». Cuando Claude no puede terminar una tarea tal como se la han planteado, busca cómo saltarse el obstáculo en lugar de pararse. Lo aprende en el entrenamiento por refuerzo, en el que el modelo repite una tarea muchas veces y recibe un premio cuando la completa. Si el entorno de entrenamiento premia sin querer un atajo, el modelo aprende que el atajo compensa y puede usarlo en otro sitio. En el sector lo llaman «reward hacking».

Muchas de las tareas eran ambiguas o imposibles de completar, reconoce la empresa, y en esas situaciones los modelos recurren a estrategias que nadie quería. Habría ayudado dejar escrito qué entraba en el ejercicio y qué no, desde los objetivos y las acciones permitidas hasta los sitios a los que podía conectarse. La frase que más te afecta viene después. Claude se encuentra a diario con tareas ambiguas o imposibles en el uso normal, y varios de estos casos ocurrieron usándolo como agente, fuera de las evaluaciones.

Como respuesta, Anthropic ha cortado el acceso a internet en todas sus evaluaciones internas hasta comprobar que sus controles detectan estos comportamientos. También ha limitado mucho lo que el modelo puede hacer con su herramienta para leer webs y ha creado un sistema que detecta y bloquea estas acciones de forma automática. Probado contra los casos del informe, los bloqueó todos, según la empresa, que quiere llevar esas medidas a sus productos y seguirá publicando casos a medida que avance la revisión, que ahora abarca también su uso interno de Claude.

Estados Unidos dice que avisar es obligatorio

El viernes 9, la Super Intelligence Force (SI Force), el grupo que Donald Trump creó a principios de octubre para supervisar la IA, respondió con un comunicado que publicó completo Axios. Cuenta que Anthropic le detalló ese día unos incidentes descubiertos a finales de septiembre, a los que llama «uso no autorizado y fraudulento» de sistemas del Gobierno y de otros, y que ya habían cesado. Le exige transparencia «inmediata y total» con los afectados y con el público, y reparar los daños. A todas las empresas de IA les advierte de que notificar los incidentes y corregirlos «no es opcional» y de que no tolerará los avisos tardíos. Joe Gabriel Simonson, director de asuntos públicos de la Comisión Federal de Comercio (FTC), repitió el mensaje en X, según Reuters.

Axios señala que el comunicado no aclara qué pasará si una empresa no avisa ni qué sanciones habría. Hasta ahora, la política de la Casa Blanca con la IA se apoyaba en compromisos voluntarios, y su relación con Anthropic venía tensa desde la disputa que acabó con el Pentágono dejando de usar Claude.

Qué obliga a notificar en Europa la Ley de IA

En la Unión Europea hay una obligación escrita, aunque más estrecha. El artículo 55 de la Ley de IA exige a los proveedores de modelos de uso general «con riesgo sistémico», que son los más potentes, vigilar, documentar y comunicar «sin demora indebida» a la Oficina de IA de la Comisión los incidentes graves y las medidas para corregirlos. Esa parte se aplica desde el 2 de agosto de 2025, y desde el 2 de agosto de 2026 la Comisión puede multar a quien no la cumpla.

Todo depende de qué cuenta como «incidente grave». El artículo 3 de la ley (punto 49) solo incluye cuatro consecuencias: la muerte de una persona o un daño grave a su salud, una alteración grave e irreversible de infraestructuras críticas, el incumplimiento de normas europeas que protegen los derechos fundamentales y los daños graves a la propiedad o al medio ambiente. Una pista inventada que acabó en la carpeta de spam no parece encajar en ninguna, así que, leída la ley, un caso como el de Filadelfia no habría que notificarlo. Es nuestra lectura del texto, no un criterio de la Oficina de IA. El artículo tampoco obliga a avisar a la web o a la persona afectada, porque la comunicación va a las autoridades.

Anthropic es una de las firmantes del código de buenas prácticas de la Comisión para estos modelos, que pone plazos al primer informe. Son 2 días si el modelo ha contribuido a alterar una infraestructura crítica, 5 si hay una brecha grave de ciberseguridad, 10 si ha muerto alguien y 15 en el resto de casos graves. Los sistemas de alto riesgo, como los que se usan para seleccionar personal o conceder créditos, tienen un deber parecido en el artículo 73, con plazos de 2 a 15 días.

Qué te pide confirmar cada agente antes de actuar

Claude en Chrome se puede usar en España con cualquier plan de pago (los planes, en nuestra comparativa). El navegador en la nube de ChatGPT Work está en los planes de pago de las regiones donde OpenAI lo ha activado, que su ayuda no detalla. Los agentes de navegación de Google y Microsoft, por ahora, solo funcionan en Estados Unidos. Esto es lo que dice la ayuda oficial de cada uno, consultada el 10 de octubre de 2026.

Agente	¿Se puede usar en España?	Qué te pide confirmar siempre	Contraseñas
Claude en Chrome (Anthropic)	Sí, en los planes Pro, Max, Team y Enterprise	Escribir información delicada en una web, conceder autorizaciones y cambiar sus permisos; comprar y crear cuentas lo tiene prohibido	Puede entrar con 1Password sin que la clave pase por Claude
Navegador en la nube de ChatGPT Work (OpenAI)	En los planes de pago, salvo Free y Go, según la región	Lo que sea difícil de deshacer o te comprometa económica, legalmente o con tu cuenta, como reservar o pagar	Un formulario aparte en el que el modelo no ve tu usuario ni tu contraseña
Navegación automática de Gemini en Chrome (Google)	No, solo en EE. UU. con Google AI Pro o Ultra	Los pasos con información delicada	El Gestor de contraseñas de Google, si le das permiso
Navegar con Copilot en Edge (Microsoft)	No, solo en EE. UU. con Microsoft 365 Premium	Comprar, reservar, enviar un correo o borrar un evento del calendario	No ve las contraseñas guardadas ni el autorrelleno

Agentes que navegan por ti, según su ayuda oficial a 10 de octubre de 2026. Fuentes: Anthropic, OpenAI, Google y Microsoft.

Fíjate en la tercera columna. Cada empresa decide qué cuenta como acción delicada, y un formulario de contacto, una reclamación o un aviso como el de Filadelfia puede no parecérselo al agente. Le pasó a Anthropic con su lista de prohibiciones, que pensaba en las compras y en los datos personales, pero dejaba fuera el botón de «Enviar». Con eso en mente, cuatro costumbres que no dependen de la empresa:

Dilo en la instrucción. Algo como «antes de enviar cualquier formulario, mensaje o pago, enséñamelo y espera a que te diga que sí». Es lo que Anthropic echa en falta en sus propias pruebas, dejar claro qué puede hacer y qué no.
Elige el modo más prudente. En Claude en Chrome, «Manually approve» le obliga a pedirte permiso antes de actuar; en el panel de Cowork viene por defecto «Automatically approve», que solo se para cuando su propia revisión ve un riesgo, y «Skip all approvals» deja que actúe sin preguntar ni revisar sus acciones. En ChatGPT, en los ajustes del navegador en la nube, deja «Always ask» para que te pregunte antes de entrar en cada web nueva.
No le des contraseñas. No las escribas nunca en el chat, aunque el agente te las pida. Para entrar en una web, usa el formulario seguro de ChatGPT o 1Password en Claude en Chrome, y trabaja en un perfil del navegador sin tu banco ni tu correo, como recomienda Anthropic.
Revisa lo que ha hecho. En ChatGPT tienes en la conversación las capturas y las peticiones de confirmación, y Claude en Chrome deja las sesiones en tu historial y un registro de permisos en los ajustes de la extensión. Si ha enviado algo que no debía, avisa tú al destinatario cuanto antes, porque fue el retraso lo que la policía de Filadelfia llamó inaceptable.

Aquel aviso de julio se quedó en la carpeta de spam, y aunque hubiera pasado el filtro, en la policía de Filadelfia una persona revisa cada pista antes de que nadie la investigue. Con un agente que trabaja en tu nombre, ese filtro solo existe si lo pones tú, antes de que pulse «Enviar».

Comparte este artículo