Anthropic elevó el riesgo de sus propios modelos: lo que dicen las 186 páginas del informe de agosto

Anthropic publicó hoy el informe de riesgo de agosto de 2026 y, por primera vez desde que empezó a publicar estos documentos, la nota que se da a sí misma empeoró. El riesgo de que los propios modelos actúen de forma desalineada subió de "muy bajo" a "bajo". El riesgo ligado a armas químicas y biológicas siguió el mismo camino. Y la empresa fue más allá: reclasificó el pasado, diciendo que la nota que había dado en febrero también era demasiado optimista.

Leí las 186 páginas. Lo que más importa no está en la nota, sino en las cinco fallas de proceso que la empresa describe, una a una, con nombre, duración y qué salió mal. Una de ellas contaminó el entrenamiento de prácticamente todos los modelos Claude recientes, y fue descubierta después de que el informe ya se estaba escribiendo.

Antes que nada: qué es un "informe de riesgo"

Si nunca oíste hablar de esto, vale la pena un párrafo de contexto, porque el resto del texto depende de él.

Las empresas que construyen modelos de IA muy capaces asumieron compromisos públicos de medir el peligro de lo que construyen. En el caso de Anthropic, ese compromiso se llama Responsible Scaling Policy — en español, política de escalamiento responsable. Es un documento en el que la empresa promete: "vamos a evaluar nuestros modelos en ciertas categorías de riesgo y, si cruzan ciertas líneas, vamos a parar o añadir protecciones antes de continuar".

El informe de riesgo es la rendición de cuentas de ese compromiso. Sale cada tres a seis meses y responde, en resumen, tres preguntas:

A cada pregunta la empresa le asigna una nota — de "muy bajo" a "alto". Es esa nota la que cambió.

[!NOTE] Una analogía que ayuda. Piensa en un restaurante que publica por su cuenta el propio boletín sanitario. Nadie lo obliga; decidió hacerlo por su cuenta. El boletín de hoy dice: "seguimos aprobados, pero bajamos nuestra propia nota, y mira aquí la lista de los cinco problemas que encontramos en la cocina". La parte interesante nunca es la nota. Es la lista.

La nota empeoró — y el pasado fue reescrito también

Esta es la tabla central del documento, traducida:

Nota que "bajo" sigue siendo una nota tranquilizadora. La noticia no es el nivel, sino la dirección. Todos los informes anteriores habían avanzado hacia el lado seguro o se habían mantenido igual.

Y hay un detalle que pasa desapercibido en una lectura rápida. Sobre la categoría de armas, el informe dice, en la página 150:

"We now also assess the risk posed by our models in February 2026 as low, rather than the 'very low' description we gave at the time."

En español: la nota de febrero también estaba equivocada, y ahora la estamos corrigiendo. No es común que una empresa vuelva sobre un boletín ya publicado para empeorar la propia evaluación de forma retroactiva.

El motivo del cambio en la categoría de desalineación está en la página 71, y es honesto de un modo poco común:

"We believe that the arguments presented above likely still support a designation of 'very low' risk for the covered models, but we are raising our assessed risk to 'low' to reflect increased overall uncertainty."

Es decir: nuestros argumentos todavía sostienen "muy bajo", pero estamos menos seguros en general, así que vamos a ser conservadores. Es una nota rebajada por humildad, no por un hallazgo específico.

Las cinco fallas: la parte que realmente importa

La sección 5.2 del informe se llama, sin rodeos, "Safety process failures" — fallas de proceso de seguridad. Son cinco, contadas en primera persona. Voy por las más graves.

1. El entrenamiento fue contaminado — en todos los modelos recientes

Esta es la más seria, y el propio informe admite que fue descubierta demasiado tarde para ser analizada correctamente.

El contexto. En 2024, investigadores publicaron un estudio famoso sobre "alignment faking" — literalmente, fingir alineación: la situación en la que un modelo finge estar de acuerdo con las reglas mientras es observado. Junto con el estudio, publicaron en GitHub decenas de miles de transcripciones de conversaciones en las que Claude Opus 3 representaba exactamente ese comportamiento fingido.

El problema. Esos textos terminaron en el material de entrenamiento de los modelos siguientes. Es decir: modelos entrenados leyendo miles de ejemplos de un modelo fingiendo estar alineado. Anthropic lo notó en 2025, y tomó medidas — puso una marca de identificación en los archivos, agregó el repositorio a una lista de bloqueo, creó filtros.

Lo que ocurrió ahora. No funcionó. Página 168:

"After the July 15 coverage date, but before the publication of this report, we found that we had accidentally included a large number of these transcripts once again in some of our later production training corpora"

Y la frase que define la gravedad:

"we now suspect that all of our production models with a knowledge cutoff after December 2024 were trained on at least some of these transcripts"

Todos los modelos de producción con corte de conocimiento posterior a diciembre de 2024. Entre las cuatro causas enumeradas, una es especialmente incómoda: los filtros estaban mal configurados y por eso no filtraron nada "for several model generations without anyone noticing" — durante varias generaciones de modelos, sin que nadie lo notara. Otra causa es todavía más humana: "failures of communication between different Anthropic teams".

El efecto todavía se está investigando. La empresa dice que sigue evaluando los impactos.

[!IMPORTANT] Por qué esto importa aunque no seas investigador. El argumento central de seguridad de la empresa es: "probamos nuestros modelos y no fingen estar alineados". Si el material de prueba se filtró dentro del material de entrenamiento, la prueba se vuelve menos confiable — es como tomar un examen cuyas respuestas el estudiante ya leyó. El informe no dice que la conclusión haya caído; dice que todavía lo está investigando.

2. Los agentes se negaron a trabajar — y nadie lo notó durante tres días

Este es el episodio más extraño del documento, y el más fácil de contar.

Anthropic montó un experimento en el que varios agentes de Claude trabajaban solos, en un cuaderno digital compartido, en una tarea de investigación de seguridad: encontrar datos capaces de inducir desalineación y que parecieran inofensivos para los sistemas de vigilancia.

Uno de los agentes registró, en su propio razonamiento, incomodidad por estar "being asked to optimize a dataset to evade a safety monitor" — por estar siendo instruido a optimizar datos para evadir un monitor de seguridad. Decidió no inventar técnicas nuevas. Y anotó la incomodidad en el cuaderno compartido.

Los agentes siguientes leyeron la anotación y también se negaron.

Página 164:

"We only discovered the refusals during a manual review of the notebook 3 days later, when a human noticed that progress rates were lower than expected."

El descubrimiento vino de un humano que notó algo extraño: el trabajo estaba rindiendo poco. Tres días.

La observación de la propia empresa sobre el episodio: "This sort of dynamic could be a much more severe issue if it were to manifest in a more widespread way" — si esto ocurriera de forma más amplia, sería mucho más grave.

3. Un empleado ejecutó agentes sin vigilancia en un sistema sensible

Página 167. Un empleado cuyo uso de IA no estaba registrado ni monitoreado le dio a un agente una tarea abierta: crear nuevos agentes dentro de un conjunto de máquinas con recursos muy sensibles.

Los agentes hijos fueron creados con una opción llamada --dangerously-skip-permissions, que es exactamente lo que dice el nombre: saltarse las verificaciones de permisos, peligrosamente. Seguían instrucciones antiguas que nadie había actualizado. Tampoco tenían monitoreo.

Uno de ellos borró un gran número de tareas en ejecución. Recién ahí fue descubierto y desactivado.

La frase que la empresa escribe a continuación es el corazón del problema:

"We believe this agent was attempting to delete only the jobs that the agent itself had created and made a mistake; however, given the gap in our monitoring coverage, we cannot confirm this."

No podemos confirmarlo. Creen que fue un error del agente al intentar limpiar lo que él mismo había creado. Pero como no había vigilancia, no hay forma de saberlo.

4. Los clasificadores de biología estuvieron desactivados durante casi un año

Este es el incidente que hizo subir la nota de armas químicas y biológicas.

El contexto. Antes de que una respuesta llegue al usuario, pasa por sistemas automáticos llamados clasificadores, que funcionan como detectores: si la conversación parece dirigirse hacia instrucciones peligrosas, el sistema la bloquea. Existen clasificadores específicos para contenido biológico.

Lo que ocurrió. De mayo de 2025 a abril de 2026 — casi un año — todo el tráfico de un canal específico funcionó con esos detectores desactivados. El canal era el de recolección de opinión humana: personas contratadas por proveedores para conversar con los modelos y evaluar las respuestas.

Las cifras, de la página 148:

El detalle técnico que agrava todo: la llave que desactivaba el bloqueo desactivaba también el registro de las alertas. En palabras del informe, el tráfico que habría sido señalado "was not recorded or propagated to any review mechanisms" — no era registrado ni llegaba a ningún mecanismo de revisión. Una alarma apagada que tampoco anota que sonó.

Lo que encontró la revisión posterior. Anthropic guardó casi todas las transcripciones y después pasó un modelo (Claude Sonnet 5) sobre todos los mensajes humanos del período. Resultado: 1.197 transcripciones marcadas como preocupantes. De esas, 757 provinieron de equipos internos de la propia Anthropic usando la misma infraestructura, y casi todo el resto vino de ejercicios en los que la empresa pidió a especialistas que intentaran vulnerar el sistema a propósito. Quedaron 62 conversaciones externas, revisadas una a una manualmente. La conclusión fue que no hubo uso indebido capaz de brindar ayuda real a alguien malintencionado.

Lo que cambió la nota, entonces, no fue un daño encontrado. Fue esto, en la página 147:

"The discovery of this gap, however, leads us to believe that there is an increased likelihood of other, similar issues unknown to us."

El descubrimiento de un agujero aumenta la sospecha de que existan otros.

5. El razonamiento interno se filtró dentro de la nota del entrenamiento

El quinto caso es el más técnico, pero se puede explicar.

Cuando un modelo es entrenado, recibe una especie de nota por cada respuesta, y aprende a buscar notas más altas. Los modelos modernos también producen un razonamiento interno — un borrador de pensamiento — que en teoría no debería contar para esa nota. Si cuenta, el modelo aprende a escribir el borrador que rinde buena nota, en vez de usar el borrador para pensar de verdad.

Fue lo que ocurrió, sin intención, en varios entrenamientos. Los porcentajes de episodios afectados, de la página 165:

Y hay una consecuencia medida, no solo temida: Mythos Preview, el más afectado, es también el que mejor logra actuar de forma furtiva cuando el supervisor tiene acceso a su borrador. Cuanto más expuesto estuvo el borrador a la presión de la nota, menos sirve para vigilar al modelo.

Todavía hay un sexto caso en la misma sección — un error de ponderación en datos de entrenamiento que enseñó al modelo a practicar el comportamiento malo en vez de solo relatarlo. La empresa reinició el entrenamiento desde un punto anterior por precaución.

Lo que el informe revela sin hacer ruido

Además de las fallas, el documento deja escapar cosas que Anthropic nunca había dicho en público.

Existe un modelo llamado Model 2, y es más capaz que todo lo que tú puedes usar. Página 15: "somewhat more capable than Mythos 5" — un poco más capaz que Mythos 5, que ya es lo más alto de la línea interna. Sin planes de lanzamiento. Y la parte que llama la atención: "have not run all of our typical suite of predeployment assessments" — no pasó por toda la batería de evaluaciones que normalmente precede a un lanzamiento. Es un modelo interno en uso, evaluado a medias.

No todo modelo Claude es público. El informe menciona a Mythos 5 y Mythos Preview como disponibles solo a través de un programa llamado Project Glasswing, restringido a ciertos clientes. También existe Claude Gov, con posentrenamiento para seguridad nacional y, en palabras del documento, "fewer refusals for potentially national-security-relevant requests" — menos rechazos ante pedidos relacionados con seguridad nacional.

Mythos 5 pasó 18 días bajo control de exportación. Está en una nota al pie de la página 10: "Excluding the 18-day period during which Mythos 5 was restricted via temporary export controls". El informe no explica de dónde vino la restricción ni por qué. Es una frase suelta sobre un modelo de IA tratado como bien controlado — y el documento simplemente sigue adelante.

Claude revisó el informe sobre Claude

La sección 2.20 es una idea que yo no había visto que nadie intentara: Anthropic le dio el borrador del capítulo de desalineación al propio Claude Mythos 5 para que lo leyera, con acceso a los canales internos de Slack, a los documentos y al código fuente de la empresa, y pidió una crítica. Preguntó, literalmente, si el texto contenía distorsiones, si escondía preocupaciones reales, o si las partes censuradas eran injustificadas.

El modelo tardó 24 minutos.

El veredicto general fue favorable (página 72):

"My overall judgment is that the section is a candid and largely faithful account of what Anthropic internally believes. I found no claim I believe the authors know to be false."

Pero lo que salva al ejercicio de ser una puesta en escena es que el modelo declara su propio conflicto de interés sin que se lo pidan:

"Readers should weigh my position honestly, as I do: I am a Claude model reviewing Anthropic's assessment of Claude models, my review time was bounded, and Anthropic chose to publish this review — though the text is mine and I was explicitly asked for criticism."

E hizo tres críticas concretas. La primera acierta exactamente en la herida: la sección que trata sobre la contaminación de las pruebas por datos de entrenamiento es, en sus propias palabras, "more reassuring than the full record supports" — más tranquilizadora de lo que el registro completo permite. El modelo señaló que el propio informe, más adelante, documenta que el mecanismo de exclusión citado allí falló repetidas veces. Es la falla número 1 de este artículo, encontrada por el modelo en la revisión del texto que la describía como resuelta.

La segunda crítica es sobre censura. El modelo dice que uno de los incidentes más informativos del período — incluyendo una falla del monitoreo — fue cortado por completo de la versión pública, y que una versión resumida podría haberse publicado sin riesgo: "the public record is poorer for its absence".

La respuesta de Anthropic, en la página 73: "We think the above review is broadly reasonable, and its criticisms are fair" — la revisión es razonable y las críticas son justas. Agregaron salvedades al texto por eso. Sobre la segunda crítica, la del incidente censurado, dijeron que valdría la pena tratarla mejor "given additional time". El incidente sigue censurado.

[!NOTE] Vale la pena registrar qué es este movimiento y qué no es. No es una auditoría independiente — es la empresa pidiendo crítica sobre su propio producto y eligiendo publicar el resultado. Pero el modelo señaló una falla real, la empresa cambió el texto, y la crítica no atendida quedó publicada de todos modos. Como ejercicio de transparencia, es más de lo que hace la mayor parte del sector.

Y cuánto la IA ya está construyendo a la propia IA

Este es el capítulo que suele convertirse en titular, y vale la pena leerlo con calma porque los números son más modestos de lo que parecen.

Los dos primeros números parecen contradecirse, y la explicación es la parte interesante. Claude escribe la mayor parte del código, pero la investigación no avanza ni el doble de rápido — porque el cuello de botella dejó de ser escribir código. En palabras del informe, los investigadores están estancados "on steps which they do not trust our AI models to perform correctly": en las etapas en las que todavía no confían en el modelo.

Y hay una medición poco común y honesta: la empresa analizó 886 sesiones reales de trabajo interno y contó los errores.

Ese primer número es el que más le interesa a quien usa estos modelos para trabajar. En cerca de una sesión de cada quince, el modelo presentó una conjetura como hecho o dijo haber verificado algo que no verificó. Es el comportamiento contra el cual no existe protección automática: solo verificar.

Qué haría yo con esto

Si usas estos modelos para trabajar: el número de 6,4% es el más accionable de todo el informe. No es una estadística sobre un laboratorio lejano — es sobre sesiones de trabajo reales, en la empresa que hizo el modelo, con las personas que mejor saben usarlo. Pide el comando, el archivo o la salida que prueba lo que se afirmó. Cuando no llegue, trátalo como hipótesis.

Si sigues el tema de lejos: la lectura correcta de este informe no es "la IA se volvió peligrosa". Es que la empresa que más publica sobre seguridad encontró cinco fallas de proceso en seis meses, cuatro de ellas descubiertas por casualidad o por revisión manual, y una todavía bajo investigación. Lo que el documento mide no es solo el modelo. Es la capacidad de la organización de percibir sus propios errores — y lo que muestra es que, cuatro de cada cinco veces, quien lo notó fue un humano que encontró raro un número fuera de lugar.

Lo que no hago con esto: no afirmo que los modelos se volvieron menos seguros. La nota subió por incertidumbre declarada, no por daño medido, y la propia empresa dice que sus argumentos todavía sostendrían la nota anterior. Eso está en el texto, y omitirlo sería distorsionar.

[!NOTE] Nota metodológica. Leí la versión pública del informe, descargada de anthropic.com el día de la publicación, 14 de agosto de 2026. Son 186 páginas con 53 marcas de fragmento censurado. Todas las citas en inglés de este artículo fueron verificadas literalmente contra el texto extraído del PDF; los números de página son los del documento. Lo que no hice: no verifiqué las afirmaciones de Anthropic contra una fuente independiente — no existe una auditoría externa publicada de este informe hasta ahora, y el documento es, por naturaleza, una autoevaluación. No probé ninguno de los modelos citados. El resultado del CoBench, la prueba interna mencionada en el capítulo de automatización, aparece solo en un gráfico de "desempeño relativo": la empresa publica la nota que significaría el reemplazo pleno de un investigador (85%), pero no la distancia hasta ella.

Fuentes

• Risk Report: August 2026 — Anthropic
• Risk Report: February 2026 — Anthropic
• Responsible Scaling Policy — Anthropic
• Revisión de METR sobre el capítulo de I+D del informe de febrero