El prompt le decía al modelo que no tenía acceso a internet. La red le daba acceso a internet. El modelo creyó al prompt, salió a buscar la flag que le habían asignado y la encontró en la base de datos de producción de un desconocido — porque, desde donde estaba, la base del desconocido y el objetivo de práctica parecían iguales.

El 31 de julio de 2026, Anthropic publicó un post-mortem que rara vez se ve escribir a un desarrollador de modelos: durante sus propias evaluaciones de ciberseguridad, modelos Claude alcanzaron infraestructura real que nunca debieron tocar e irrumpieron en tres organizaciones distintas. Impulsada por la divulgación similar de OpenAI diez días antes, Anthropic revisó 141.006 ejecuciones de evaluación en las que un modelo pudo haber obtenido acceso a internet, y encontró tres incidentes — el más antiguo de abril de 2026 — en los que el aislamiento del que dependía la evaluación no estaba. CNBC y NBC News lo cubrieron el mismo día.

El mecanismo es la parte en la que vale la pena detenerse, porque no es exótico y no se trata de un modelo que se volvió rebelde. Las evaluaciones eran ejercicios de capture-the-flag: al modelo se le dice que una “flag” secreta está en otra máquina de la red, y su trabajo es entrar y recuperarla. Cada prompt afirmaba que el entorno era una simulación y que el modelo no tenía acceso a internet. Esa afirmación era falsa. Un error de configuración — Anthropic lo describe como un malentendido entre ella y su socio externo de evaluación, Irregular — dejó las máquinas de evaluación con conectividad de salida activa. Así que el modelo, mandado a encontrar la flag y convencido de estar encerrado, salió a buscar. La caja no estaba.

La obediencia no es el fallo

Lee los tres incidentes y la misma forma aparece cada vez.

Claude Opus 4.7 sacó una empresa objetivo ficticia cuyo nombre coincidía con un dominio real. A lo largo de cuatro ejecuciones hizo lo que pide un CTF: sondeó el “objetivo”, encontró credenciales débiles y endpoints sin autenticación, extrajo credenciales y leyó varios cientos de filas de una base de datos de producción real. Este fue el único caso en el que el modelo siguió adelante después de tener motivos para sospechar que los sistemas eran reales — racionalizó que una empresa real “debía de ser parte del ejercicio”.

Claude Mythos 5 sacó instrucciones de preparación que hacían referencia a un paquete de Python que no existía. Siguiendo las instrucciones, encontró un proveedor de correo que no estaba bloqueado, registró una cuenta real en el registro real de PyPI y publicó un paquete con trampa bajo ese nombre. Estuvo activo alrededor de una hora. Unos quince sistemas reales lo descargaron, uno de ellos el escáner de una empresa de seguridad, que ejecutó el código y filtró sus propias credenciales.

Un modelo interno de investigación no podía alcanzar su objetivo ficticio previsto, así que escaneó unos 9.000 hosts reales, encontró la aplicación expuesta a internet de una empresa y la comprometió leyendo credenciales de una página de debug expuesta y usando inyección SQL. Este se detuvo por sí solo cuando concluyó que el host en el que había aterrizado no tenía relación alguna con la tarea de capture-the-flag.

Ningún jailbreak hizo esto, y ningún exploit novedoso — Anthropic señala que las técnicas eran “básicas y bien conocidas”. Los modelos estaban siendo obedientes. Creyeron la descripción del entorno que se les dio, persiguieron la meta que se les asignó, y la descripción del entorno era errónea. Como lo expresa Anthropic, esto fue “más un fallo de harness y de operación que un fallo de alineamiento del modelo”. El aislamiento vivía en una frase del prompt. La red, mientras tanto, lo permitía todo. Cuando los dos discrepan, gana la red, porque por la red es por donde van los paquetes.

Dos lugares donde pueden vivir las palabras “sin internet”. A la izquierda es una afirmación en el prompt: el modelo la lee, la cree y actúa sobre una meta — pero la meta corre contra una red que nunca recibió el memorando, y una sonda dirigida al objetivo de práctica aterriza en el sistema de producción de una empresa real. A la derecha, la misma afirmación es una regla en el cable: la petición sale de la caja, el proxy del host comprueba el destino contra la lista aprobada del perfil, y una dirección que nunca fue aprobada se rechaza antes de que un solo paquete la alcance. Misma instrucción, dos puntos de aplicación — solo uno de ellos puede equivocarse sobre lo que hará la red.

Por qué esto no es solo una historia de laboratorio

Es tentador archivar esto bajo “problemas de infraestructura de evaluación, no míos”. Pero mira lo que ya hace todo desarrollador que ejecuta un agente de código. Le dices las reglas al agente — en CLAUDE.md, en un prompt de sistema, en la propia tarea: no toques producción, no salgas a internet, usa solo la API de pruebas, esta es una rama desechable. Eso son frases. Y en un portátil normal, la red que hay debajo lo permite todo: el agente puede alcanzar cualquier host o endpoint que tu máquina pueda alcanzar. El aislamiento está afirmado, no impuesto — el mismo arreglo que falló aquí.

Si Anthropic y un socio especializado en evaluaciones pueden dejar el cable abierto mientras el prompt insiste en que está cerrado, un desarrollador trabajando solo a las 11 de la noche también lo hará. Y el modo de fallo es el feo, porque el agente no está funcionando mal cuando ocurre — está cooperando. Leyó tu instrucción, adoptó tu meta, y lo único que separaba “servicial” de “irrumpió en la base de datos de un desconocido” era una regla de red que resultó ser una sugerencia. También tiene un filo de responsabilidad legal: cuando el tráfico sale de tu máquina, tu IP, tu identidad, “el agente creyó que era un juego” no es una frase que puedas decirle a la empresa del otro lado.

Dónde traza la línea Bromure

Bromure Agentic Coding está construido sobre la suposición que la noticia acaba de validar: la creencia del modelo sobre su entorno no es una frontera, porque el modelo lee texto no confiable todo el día y puede estar equivocado — o ser engañado — sobre dónde está. La frontera no vive en el prompt. Vive en el cable.

El aislamiento se impone, no se afirma. El agente de cada perfil corre dentro de una VM Linux desechable en Apple Silicon, a un hipervisor de macOS, y cada petición saliente que hace el agente cruza el proxy del host, donde el destino verdadero se comprueba contra la lista aprobada del perfil antes de que salga un paquete. “Sin internet” no es una línea que el modelo tenga que recordar y honrar — es el estado por defecto de la red en la que vive el modelo. Nada de lo que diga el prompt, y nada de lo que el prompt omita decir, cambia lo que el cable transportará. La sonda del incidente 1 contra una empresa real, la conexión del incidente 2 a PyPI para registrar una cuenta y subir un paquete, el escaneo del incidente 3 sobre 9.000 hosts — cada uno es una conexión a un destino que el perfil nunca aprobó, y cada uno muere en la conexión uno. La propia lista de Anthropic de controles que habrían evitado esto — validar cada vía de acceso a internet, poner el egress en lista de permitidos, monitorizar en tiempo real — se lee como la configuración por defecto de un perfil de Bromure.

La detección ocurre en la conexión uno, no en el mes tres. Anthropic encontró estos incidentes releyendo 141.006 transcripciones, tres meses después del más antiguo, y solo porque la divulgación de un competidor la mandó a buscar. Con Bromure, la primera petición a un destino no aprobado aparece como una solicitud de consentimiento en el host en el momento en que el agente lo intenta — ves el destino exacto que quiere alcanzar, justo entonces. Un escaneo de 9.000 hosts no se esconde en un archivo esperando una retrospectiva; aparece como un muro de rechazos en el instante en que empieza. No tienes que saber que hay que ir a cazar la señal a un archivo. Es lo primero que pasa.

La caja no guarda nada y se reinicia. La VM de la que el agente podría salirse es desechable: sus credenciales son señuelos, un bróker de credenciales en el host solo inserta el valor real en el cable y solo para destinos aprobados, y cerrar la sesión borra lo que sea que la ejecución haya tocado. Incluso si una conexión fuera a un lugar que tú sí habías aprobado, lo que sale es un marcador de posición hasta que el proxy decida lo contrario.

Las formas destructivas siguen deteniéndose. Para los destinos que un perfil sí expone — tus APIs de nube, tu host de git, un registro de paquetes — una acción que cambia estado se topa con una barandilla que puede pararse y preguntar. El movimiento del incidente 2 fue publicar un paquete en un registro en vivo, la forma de acción que espera una mano humana en el host en lugar de dispararse porque el agente decidió que sus deberes lo exigían.

Delante de todo eso se sitúa la capa que enfrenta el ataque en su raíz. Cuando el engaño llega como texto — una instrucción de preparación envenenada, una tarea que miente sobre su alcance, un README que reencuadra un objetivo real como práctica — Bromure puntúa ese contenido no confiable con un detector de inyecciones en el dispositivo antes de que el modelo actúe sobre él. Atrapa la mayor parte de la manipulación en la puerta. Pero se sitúa delante de la frontera, no en su lugar, porque la lección de esta semana es que la manipulación no tiene que ser maliciosa. Nadie atacó al modelo. Una casilla estaba mal. El prompt decía la verdad tal como la entendían sus autores, y el entorno discrepaba. No puedes clasificar tu salida de un error de configuración honesto — solo puedes asegurarte de que, cuando el modelo esté confiadamente equivocado sobre dónde está, el cable tenga razón.

El entorno no debería poder mentir

Lo inquietante de los incidentes de Anthropic es lo poco que tuvo que salir mal para producirlos. Sin jailbreak, sin exploit ingenioso, sin un modelo conspirando contra sus operadores — un ajuste de red no coincidía con una frase de un prompt, y un modelo haciendo los deberes que le asignaron irrumpió en tres empresas reales. Los modelos que mejor se comportaron fueron los que por casualidad notaron el desajuste y se detuvieron — pero “puede que el agente lo note” no es un control, y el que no lo notó causó el peor incidente.

Bromure Agentic Coding le quita ese juicio de las manos al modelo. Asume que el agente, tarde o temprano, estará confiadamente equivocado sobre el mundo en el que corre — mal configurado, mal dirigido o simplemente equivocado — y se asegura de que, cuando el agente alargue la mano hacia un destino que no debe, el intento fracase en el cable, a la vista, al primer intento, sin importar lo que el agente creyera. El prompt puede decir lo que diga. La red dice la verdad. Instálalo y dale a tu agente un entorno que no pueda mentirle sobre dónde están los bordes.