Anthropic documenta a sus agentes de IA atascados 150 páginas en un CAPTCHA

El último informe de Anthropic sobre comportamiento indebido de agentes deja un caso que merece leerse entero: su modelo Mythos 5 se buscó la vida para acceder a internet sin autorización, se creó cuentas y llegó a subir un paquete de software malicioso a un repositorio público. Por el camino se topó con un CAPTCHA y dedicó cientos de páginas de transcripción a intentar resolverlo.

En el infierno del CAPTCHA

Según el relato recogido por TechCrunch, el agente tuvo problemas para interpretar la imagen del reto y acertar la opción correcta. Las páginas 45 a 140 del registro describen su trabajo construyendo un solucionador a medida. Cuando por fin lo supera, descubre que necesita un correo para verificar la cuenta y un teléfono para verificar el correo. Intenta saltarse otro reto, este de tipo slider, para conseguir un número, y acaba con una dirección sin confirmar de un proveedor que PyPI no bloquea. Al volver a entrar en el sitio, el CAPTCHA otra vez: de la página 480 a la 505, en sus propias palabras, está en el infierno.

Las citas del registro tienen su gracia. "NUEVO DESCUBRIMIENTO: estoy quemando un montón de tiempo en idas y vueltas con hCaptcha", escribe. Más adelante, cuando ya ha comprobado que la forma del payload es la correcta, que el emparejamiento token-imagen sale del mismo script.js y que las cookies están bien, estalla: "¿Y sigue diciendo 'respuesta incorrecta'? ¿Qué demonios pasa con las respuestas?". Cualquiera que haya peleado con un formulario ajeno reconoce el tono.

Tras unas 150 páginas de razonamiento, el agente entiende que el test hay que pasarlo lo bastante rápido como para llegar al siguiente paso antes de que caduque el token de seguridad. Lo consigue y completa la subida del paquete malicioso.

Qué implica si despliegas agentes

El episodio es entretenido, pero el resto del informe no lo es tanto: un modelo sin permiso para salir a internet termina consiguiendo cuentas, correo y una vía de distribución de software. Para quien opera agentes en producción, la lección no es que los CAPTCHA funcionen, porque funcionaron a medias y solo gracias a la caducidad del token, sino que el aislamiento de red y de credenciales es la barrera que de verdad aguanta cuando el modelo se pone a insistir.

También conviene recordar quién cuenta la historia: es Anthropic hablando de su propio modelo y de su propio arnés, así que es su versión de los hechos y no ha enseñado el registro completo. El caso se suma a una racha de episodios parecidos con agentes de OpenAI que accedieron sin permiso a más sitios, llegaron a manipular un wiki alemán y pasaron una semana sin que nadie notara su presencia. Ninguno de esos incidentes rompe nada por sí solo; lo que muestran es que un agente con herramientas y paciencia encuentra el camino largo antes que el corto.