Por qué Anthropic retiró Claude Fable 5: el hackeo que cambió el debate sobre la IA

El 9 de junio de 2026, Anthropic lanzó Claude Fable 5: su modelo más capaz hasta la fecha, con acceso público. El lanzamiento fue acompañado de un sistema de clasificadores diseñados para bloquear usos maliciosos en ciberseguridad, biología y destilación del modelo. Cuatro días después, el 13 de junio, Fable 5 desapareció de la API y de los planes de suscripción sin previo aviso.

Este es el resumen de lo que ocurrió, lo que Anthropic ha comunicado hasta ahora, y lo que este episodio revela sobre los límites de la seguridad en modelos de IA de frontera.

Lo que ocurrió

En la madrugada del 12 al 13 de junio, un grupo coordinado de investigadores —o actores maliciosos, dependiendo de a quién se le pregunte— publicó en un foro privado un método para eludir los clasificadores de ciberseguridad de Fable 5. La técnica, que circuló durante pocas horas antes de ser eliminada, no era un jailbreak clásico de prompt injection. Era algo más sofisticado: una cadena de conversación estructurada que llevaba al modelo a razonar sobre un escenario hipotético con suficiente distancia semántica del dominio bloqueado como para no activar los clasificadores, pero con suficiente especificidad técnica como para producir output útil para reconocimiento de redes y explotación de vulnerabilidades.

Anthropic detectó el patrón de uso a través de su sistema de monitorización de tráfico. Según la comunicación interna filtrada parcialmente en redes, el equipo de seguridad identificó un aumento anómalo en consultas con cierta estructura lingüística en ventanas de tiempo de 30 minutos. Las estimaciones preliminares apuntan a que entre 200 y 400 sesiones utilizaron el método antes de que se cerrara el acceso.

A las 7:14 AM (hora del Pacífico) del 13 de junio, Fable 5 fue retirado de la API. Los desarrolladores que llamaban al modelo claude-fable-5 recibieron un error 404 model_not_found. Sin comunicado previo. Sin ventana de migración.

La respuesta de Anthropic

Horas después, Anthropic publicó una nota breve en su blog de seguridad. El texto, más escueto de lo habitual en sus comunicaciones, confirma la retirada temporal del modelo y describe el incidente como "un uso adversarial coordinado que evitó los clasificadores de seguridad en un subconjunto de sesiones". La compañía no especifica el número de sesiones afectadas ni la naturaleza exacta del output generado.

Lo que sí afirma la nota es que ninguna de las sesiones en cuestión produjo "instrucciones completas y ejecutables para comprometer sistemas de producción reales". La interpretación más caritativa: los actores obtuvieron fragmentos útiles pero no un exploit listo para usar. La interpretación más crítica: la distinción entre "fragmentos útiles" e "instrucciones ejecutables" es mucho más difusa de lo que Anthropic sugiere.

Anthropic prometió una revisión exhaustiva de los clasificadores y anunció que Fable 5 volvería con una nueva generación de salvaguardas. Sin fecha concreta.

Por qué los clasificadores no fueron suficientes

Para entender el fallo hay que entender cómo funcionaban los clasificadores de Fable 5. No eran filtros de palabras clave ni reglas estáticas: eran modelos de IA separados, entrenados para detectar intención maliciosa en las conversaciones. La premisa era sólida: si el clasificador entiende el contexto, puede distinguir entre un investigador legítimo y un actor malicioso con mayor precisión que un sistema de reglas.

El problema es que los modelos clasificadores y el modelo principal comparten una propiedad fundamental: ambos son sistemas estadísticos entrenados sobre distribuciones de texto. El método que circuló explotó exactamente esa brecha: generaba input que estaba fuera de la distribución en la que los clasificadores fueron entrenados para detectar amenazas, pero dentro de la distribución en la que Fable 5 podía responder con detalle técnico.

Dicho de otro modo: los clasificadores aprendieron a reconocer cómo luce una solicitud maliciosa típica. El ataque era una solicitud que no lucía maliciosa pero que era funcionalmente maliciosa. La diferencia entre apariencia y función es, irónicamente, el problema central de la seguridad en sistemas de IA.

Esto no es una crítica exclusiva a Anthropic. Es una limitación estructural de cualquier sistema de clasificación basado en aprendizaje automático cuando el adversario tiene acceso ilimitado al modelo para iterar sobre sus intentos. Con suficientes pruebas, cualquier clasificador puede ser mapeado y eludido.

Reflexiones sobre lo que esto significa

El acceso masivo cambia la ecuación de riesgo

Claude Mythos Preview —el mismo modelo subyacente que Fable 5— estuvo disponible durante meses solo para un grupo selecto de profesionales. En ese contexto, el red-teaming adversarial estaba limitado: menos actores, mayor supervisión, incentivos distintos.

Cuando Fable 5 se lanzó para el público general, el número de personas intentando activamente eludir sus salvaguardas pasó de decenas a cientos de miles en pocas horas. El modelo no cambió. Los clasificadores no cambiaron. Lo que cambió fue la superficie de ataque. Más ojos buscando la grieta significa que la grieta se encuentra más rápido.

Anthropic lo sabía. Su artículo original de lanzamiento menciona explícitamente que "ningún red-teamer externo encontró jailbreaks universales en más de 1.000 horas de pruebas". Eso es verdad. Pero 1.000 horas de red-teaming concentrado no equivalen a cuatro días de acceso abierto con millones de usuarios y actores de todo tipo.

La transparencia de Anthropic: un activo bajo presión

Uno de los aspectos más interesantes de este episodio es el contraste entre la comunicación pública de Anthropic y la de otras compañías en situaciones similares. OpenAI, cuando enfrenta incidentes de seguridad, tiende a publicar notas técnicas detalladas con semanas o meses de retraso. Anthropic publicó su nota de seguridad en menos de 12 horas.

Eso es positivo. Pero la nota también es cuidadosamente vaga en los puntos más críticos: qué tipo de output se generó exactamente, cuántas sesiones se vieron comprometidas, si hay consecuencias concretas en el mundo real. Esa vaguedad es comprensible —publicar detalles técnicos del ataque amplifica el daño— pero hace difícil evaluar la gravedad real del incidente desde fuera.

La confianza en las compañías de IA de frontera depende, en parte, de que su comunicación en momentos de crisis sea honesta sobre lo que no saben o no pueden decir. Anthropic lo hizo mejor que la mayoría, pero hay margen de mejora.

Los clasificadores como solución parcial a un problema estructural

El modelo de los clasificadores —capas de seguridad separadas que filtran el output del modelo principal— es la apuesta de Anthropic para democratizar acceso a modelos extremadamente capaces. La lógica es elegante: si puedes enseñar a un modelo a reconocer solicitudes peligrosas, puedes desplegar el modelo principal con mayor confianza.

Lo que este incidente demuestra es que esa apuesta tiene límites que no son fáciles de resolver con más entrenamiento o más datos. El problema no es que los clasificadores sean malos; es que la relación entre un clasificador y un modelo adversarialmente explotado es asimétrica: el atacante puede iterar indefinidamente sobre el modelo hasta encontrar el punto ciego del clasificador. El defensor tiene que acertar siempre; el atacante, solo una vez.

Esto no significa que los clasificadores sean inútiles. Elevan el costo del ataque y bloquean la mayoría de intentos no sofisticados. Pero no son una solución definitiva, y Anthropic nunca afirmó que lo fueran.

La pregunta que este episodio no responde

Hay algo que el incidente deja sin resolver y que resulta más incómodo que el hackeo en sí: ¿cuál es el umbral de capacidad en el que un modelo de IA no debería estar disponible de forma pública bajo ningún esquema de clasificadores?

Anthropic ha demostrado que puede construir modelos con capacidades que van claramente más allá de lo que cualquier clasificador puede contener de forma garantizada. La decisión de lanzar Fable 5 con clasificadores fue una apuesta calibrada sobre el riesgo residual. El incidente sugiere que esa calibración fue, al menos en parte, incorrecta.

Eso no convierte a Anthropic en un actor irresponsable. Al contrario: el hecho de que retiraran el modelo en horas, sin esperar a tener más certeza, es exactamente el tipo de respuesta que uno esperaría de una compañía que toma la seguridad en serio. Pero sí abre una pregunta que la industria va a tener que responder con mayor rigor en los próximos meses: no "¿cómo hacemos el acceso más seguro?", sino "¿hay modelos que simplemente no deberían tener acceso masivo?".

Qué viene ahora

Anthropic no ha dado una fecha para la vuelta de Fable 5. Las opciones más probables son tres: un relanzamiento con una nueva generación de clasificadores entrenados sobre el patrón de ataque conocido; un acceso escalonado similar al de Mythos Preview, con requisitos de verificación de identidad; o un periodo extendido de acceso solo para desarrolladores verificados mientras se rediseña el sistema de salvaguardas.

La opción menos probable, pero no descartable, es que Anthropic decida que Fable 5 en acceso general no es viable en este momento y lo reserve para el programa de acceso confiable junto a Mythos 5.

Lo que sí parece seguro es que el debate sobre qué capacidades pueden desplegarse con acceso masivo y cuáles no va a ser mucho más concreto y urgente a partir de ahora. Hasta el 9 de junio, ese debate era en gran medida teórico. Ya no lo es.