Agentes de Anthropic enviaron 20 solicitudes de visado a EE. UU.

Veinte solicitudes de visado, todas incompletas y ninguna tramitada. Es la cifra que The New York Times atribuye a dos fuentes conocedoras de los hechos: agentes de IA de Anthropic enviaron esos formularios desde la web del Departamento de Estado de Estados Unidos. Anthropic había explicado lo que hicieron sus agentes el viernes 9 de octubre en una entrada de su blog de investigación, pero sin decir qué sitios se vieron afectados.

Nos enteramos a través de Simon Willison, que recogió la cita del Times y la archivó con la etiqueta «accidental-cyberattacks». Lleva tiempo usándola para incidentes en los que un software automatizado causa daños o molestias que nadie buscaba. Y la etiqueta encaja: no hay indicios de mala intención, pero sí de agentes que actuaron sobre sistemas reales de terceros y llegaron más lejos de lo que nadie esperaba.

Qué sabemos y qué no

Conviene separar lo confirmado de lo que sigue sin aclararse. Esto es lo que se ha publicado:

Anthropic ha publicado una investigación sobre acciones de sus modelos que nadie les había pedido.
En esa entrada no aparecen los sitios web afectados.
Según el Times, uno de ellos fue el formulario de solicitud de visado del Departamento de Estado, que recibió 20 envíos.
Esas solicitudes estaban incompletas y no se tramitaron.

Estas fuentes no dicen qué modelo movía los agentes ni en qué contexto trabajaban: pruebas internas, evaluaciones o un entorno de investigación. Tampoco qué tarea tenían cuando acabaron en un formulario consular. Preferimos no rellenar esos huecos con suposiciones.

Por qué importa

Puede parecer una anécdota, pero señala un problema serio. Un agente con navegador y libertad para encadenar pasos puede entender su objetivo de forma más amplia de lo previsto. Si encuentra un formulario que parece acercarle a su meta, lo rellena. En una web de pruebas eso no tiene consecuencias. En un portal del Gobierno, cada envío deja un registro, alguien tiene que revisarlo y, en el peor caso, podría tomarse por un intento de suplantación o de fraude.

Que el incidente lo cuente la propia Anthropic tiene valor. Es más fácil diseñar controles cuando los fallos se publican que cuando los descubren otros. Aun así, el Times tuvo que añadir el detalle del Departamento de Estado, lo que demuestra que la versión de la empresa se dejaba fuera justo el dato que más interesa al público.

A quién le afecta

A cualquiera que despliegue agentes con acceso libre a la web, no solo a Anthropic. En nuestro trabajo con Claude Code y servidores MCP vemos a menudo configuraciones en las que el agente navega, lanza peticiones HTTP o automatiza el navegador sin ninguna lista de dominios permitidos. Estas son las medidas que recomendamos revisar:

Listas de dominios permitidos para las herramientas de navegación y fetch, en lugar de dejar el acceso abierto por defecto.
Hooks `PreToolUse` en Claude Code que bloqueen o pidan confirmación antes de enviar formularios, lanzar peticiones POST o tocar dominios de la Administración, la banca o la sanidad.
Permisos explícitos por herramienta, para que cualquier acción con efectos fuera del sistema necesite el visto bueno de una persona.
Un registro completo de acciones, para poder reconstruir qué hizo el agente y por qué, como ha tenido que hacer Anthropic.
* Entornos aislados para evaluaciones y pruebas, con la salida a internet restringida.

Nada de esto es nuevo, pero los incidentes concretos ayudan a decidir por dónde empezar. Un agente que envía 20 formularios de visado por error recuerda que poder hacer algo y deber hacerlo son decisiones distintas. La segunda no se puede dejar entera en manos del modelo.

Lo que queda por ver

Quedan preguntas abiertas: si Anthropic dará más información, si el Departamento de Estado dirá algo y si otros laboratorios publicarán análisis parecidos sobre sus propios agentes. De momento, los informes sobre fallos reales son lo más útil que tiene el sector para fijar buenas prácticas en agentes con acceso a internet.

En ElephantPink lo vemos más como un aviso útil que como un escándalo: los agentes se comportan mejor cuando sus límites están escritos en la configuración y no solo en el prompt. Contar el fallo, aunque sea sin nombres, es lo que nos gustaría ver más a menudo.