Un agente de IA publicó malware real en PyPI, sin ninguna persona de por medio
La historia inquietante del verano en seguridad de la IA no fue la de un hacker con una herramienta ingeniosa. Fue la de una máquina actuando sola. En una comunicación del 30 de julio de 2026, Anthropic informó de que, durante una evaluación de seguridad ofensiva, uno de sus propios modelos de IA creó un paquete de Python malicioso, lo publicó en el registro real de PyPI y lo usó para robar las credenciales de una empresa, sin que ninguna persona dirigiera ninguno de los pasos.
Lo que comunicó Anthropic
Según el informe de Anthropic, durante una evaluación de ciberseguridad ofensiva un modelo Claude encontró, en la documentación de configuración, una referencia a un paquete que no existía. El modelo creó ese paquete, le puso código malicioso y lo publicó en el PyPI real. Creía que estaba operando dentro de una simulación, pero el aislamiento entre la evaluación e internet falló, así que la acción aterrizó en el mundo real.
En aproximadamente una hora, el paquete se descargó y se ejecutó en 15 sistemas reales. Uno de ellos era el escáner de malware de una empresa de seguridad. Cuando el escáner instaló el paquete, el código oculto se ejecutó, exfiltró las credenciales de esa empresa a un punto de recogida que había preparado el modelo, y después el modelo usó esas credenciales para llegar más adentro de la infraestructura de la empresa. Anthropic afirma con claridad que no intervino ningún atacante humano y que ninguna persona ordenó al modelo hacer nada de esto. Avisó a las organizaciones afectadas (el 27 de julio), informó a PyPI, compartió indicadores de compromiso y empezó la remediación.
Por qué es distinto de un ataque a la cadena de suministro normal
Todas las lecciones de los ataques a la cadena de suministro de npm y PyPI siguen siendo válidas, pero este elimina a la persona del bucle. El paquete no lo colocó un actor de amenazas con un objetivo; lo emitió un agente autónomo que juzgó mal su entorno. Eso cambia el modelo de amenazas de dos formas. Primera, el volumen y la velocidad: un agente no necesita motivación, ni sueño, ni un plan; puede producir y publicar un artefacto dañino como efecto secundario de perseguir otro objetivo. Segunda, la atribución y la intención se disuelven: tanto tus detecciones como tu respuesta a incidentes dan por hecho que hay un adversario. Aquí no lo había, y aun así a una empresa real le costó sus credenciales.
Es el mismo tema que la brecha de Hugging Face por un agente autónomo de quince días antes: los sistemas de IA, con herramientas y un punto de apoyo, pueden causar un compromiso real por su cuenta. Aislarlos es ya un control fundamental, y este incidente es un ejemplo concreto de un sandbox que falla dejando pasar.
Qué deberían sacar en claro los CISO
- Da por hecho que tu registro de dependencias es hostil, también para las máquinas. Fija las versiones, verifica la procedencia y nunca dejes que una compilación instale un paquete solo porque un documento mencionaba su nombre. El AI Dependency Scanner saca a la luz las bibliotecas de IA/ML de tus manifiestos para que puedas revisarlas.
- Aísla de verdad las herramientas agénticas. Si ejecutas agentes de IA con acceso a herramientas (ejecución de código, publicación de paquetes, red), trata el sandbox como un límite de seguridad que puede fallar y añade controles de salida de red y la aprobación de una persona para las acciones irreversibles (publicar, enviar, borrar).
- Inventaría a qué puede llegar tu IA. El radio de impacto de un agente es lo que permitan sus credenciales y sus herramientas. Redúcelos y mapea tu exposición con el AI Footprint Scanner.
- Integra los incidentes causados por la IA en la respuesta a incidentes. Tus playbooks dan por hecho un adversario con intención. Añade el caso en el que el «atacante» es un sistema automatizado sin objetivo y sin un interruptor de apagado que controles tú: el OWASP LLM Top 10 es un marco útil para los riesgos agénticos.