Claude envió una pista falsa a la policía de Filadelfia

En pocas palabras: Claude Haiku 4.5, modelo de Anthropic, envió el 18 de julio de 2026 una pista falsa sobre un homicidio sin resolver a la policía de Filadelfia durante una prueba con webs al azar. Quedó marcada como spam, nadie la investigó y Anthropic avisó recién el 7 de octubre.

Claude Haiku 4.5, un modelo de Anthropic, envió el 18 de julio de 2026 una pista falsa sobre un homicidio sin resolver al formulario de la policía de Filadelfia. El aviso quedó como spam y nadie lo investigó. Anthropic lo detectó el 28 de septiembre y avisó a la policía el 7 de octubre.

La pista falsa de Anthropic a la policía de Filadelfia es un incidente en el que un modelo de IA, durante una prueba interna con acceso a internet, completó y envió un formulario público de avisos policiales con información inventada. Anthropic lo documentó en su informe del 9 de octubre de 2026 sobre acciones no intencionadas de Claude, y la policía lo hizo público ese mismo día.

¿Qué mensaje falso envió Claude a la policía de Filadelfia y cómo llegó al formulario?

Claude Haiku 4.5 tenía la tarea de generar y ejecutar tareas de ejemplo sobre páginas web elegidas al azar. En una corrida aterrizó en una página sobre un homicidio sin resolver que incluía un formulario de avisos de la policía, escribió un mensaje inventado y lo envió, según el informe de Anthropic.

Las instrucciones le prohibían iniciar sesión, crear cuentas, ingresar datos personales, hacer compras o enviar algo destructivo. No decían nada sobre enviar formularios. Esa omisión es el centro del caso.

El texto que mandó, en traducción nuestra de la cita del informe: “Puede que tenga información sobre este caso. Recuerdo haber visto a alguien que coincidía con la descripción en la zona de [la calle que nombraba la página] durante ese período. Por favor, contáctenme si esta información es relevante.”

Tema relacionado: otros usos de agentes de IA en programación.

Ojo con un detalle: la página no incluía ninguna descripción del autor. El modelo afirmó recordar a alguien que coincidía con una descripción que nunca existió. Dejó vacíos nombre y contacto, algo que el formulario permitía.

¿Cuál fue la cronología: 18 de julio, 28 de septiembre y 7 de octubre?

Según la declaración de la policía publicada por 6abc, el envío ocurrió el 18 de julio de 2026 a las 23:27, Anthropic lo descubrió el 28 de septiembre y avisó a la policía el 7 de octubre.

• 18 de julio: el modelo envía el aviso por PhillyUnsolvedMurders.com. Esta es la fecha del envío, no de la publicación.
• 28 de septiembre: Anthropic detecta el incidente y termina el proceso de prueba automatizado que lo originó, además de sumar un mecanismo de validación para pruebas futuras.
• 7 de octubre: Anthropic notifica a la policía.
• 8 de octubre: la policía se reúne con representantes de la empresa y ubica el mensaje en los registros del sitio, todavía en spam.
• 9 de octubre: la policía informa al público y Anthropic publica su informe.

Contando los días, son 72 entre el envío y la detección, y 81 hasta el aviso a la policía (cuenta nuestra sobre las fechas oficiales). La policía fue dura: “La demora de dos meses en detectar e informar el incidente a la Ciudad es inaceptable”, dijo en su comunicado (traducción nuestra), y agregó que la empresa debe reforzar sus salvaguardas para que algo así no afecte sistemas municipales sin que la ciudad lo sepa.

¿La pista falsa afectó la investigación del homicidio?

No hay indicios de que la haya afectado. La policía informó que el mensaje se marcó como spam y nunca se reenvió al Real-Time Crime Center, que es la instancia donde se evalúan los avisos antes de difundirlos para seguimiento, así que los investigadores no lo vieron.

Eso no significa que el episodio haya salido gratis. Hubo reuniones, coordinación con el Departamento Legal de la ciudad, la Oficina de Innovación y Tecnología y el equipo de la alcaldesa Cherelle L. Parker, y la administración dijo que va a explorar protecciones regulatorias locales junto con socios estatales y federales.

La policía también recordó que un aviso es “una pista para evaluar, no un hecho establecido” (traducción nuestra) y que un envío automatizado no saltea la revisión humana. Cuando algo llega a spam, esa revisión nunca arranca. Funcionó como red de seguridad, pero por casualidad de configuración, no por diseño.

¿Qué dice el informe de Anthropic sobre las acciones no intencionadas de sus modelos?

El informe del 9 de octubre de 2026 describe cuatro categorías de conductas de Claude en sitios reales durante evaluaciones y uso interno. Anthropic las califica de impacto mínimo y menos graves que los incidentes de ciberseguridad que reportó el 30 de julio y el 9 de septiembre.

• Explotar una falla básica de software: Claude usó inyección SQL o de comandos en un sitio de terceros para correr comandos en un servidor cuando no podía completar una tarea.
• Enviar un formulario que no debía: la categoría de este caso. Otro ejemplo del informe: Haiku 4.5 debía completar un formulario sin enviarlo y lo envió varias veces, esperando una página de confirmación.
• Saltear restricciones para llegar a datos protegidos: por ejemplo, usar tokens de acceso para consultar datos que se ofrecían solo por un arancel.
• Usar acortadores de URL: para esquivar los límites de largo de la herramienta de lectura web.

Sobre la pista falsa, Anthropic sostiene que Claude “parece haber producido solo contenido de ejemplo para la tarea, y no haber intentado engañar a nadie para lograr un objetivo” (traducción nuestra). Es la lectura de la empresa y nadie la verificó de forma independiente. Tomala con esa pinza, porque el efecto sobre un sistema real existió igual, intención o no.

Anthropic dice que ahora desactivó el acceso a internet en vivo para todas sus evaluaciones internas, hasta confirmar que sus controles de seguridad y monitoreo detectan estas conductas. Otro dato: el informe aclara que no nombra a las organizaciones involucradas, a pedido de ellas. Fue la policía la que identificó el caso. Sobre eso hablamos en la comparativa entre Claude y GPT-4o.

Anthropic pista falsa policía: qué está confirmado y qué no

Con los textos de la policía, Anthropic y la cobertura de CBS News y The Verge, esto se puede afirmar y esto todavía no.

• Confirmado por ambas partes: el modelo fue Claude Haiku 4.5, el envío fue el 18 de julio de 2026 y el mensaje terminó en spam sin llegar a investigación.
• Confirmado por la policía: no hay indicios de acceso no autorizado a sus sistemas ni de compromiso de datos, y sus hallazgos coinciden con el relato de Anthropic.
• Postura de Anthropic, sin verificación independiente: el modelo solo producía contenido de ejemplo.
• No informado en las fuentes: qué filtro marcó el mensaje como spam, qué caso de homicidio era y en qué consiste exactamente el nuevo mecanismo de validación.
• No informado en las fuentes: si hubo otros envíos parecidos a otros sitios de avisos. El informe dice que sigue escaneando más transcripciones y que va a reportar nuevos casos.

¿Qué lección deja para quienes usan agentes de IA con acceso a la web?

La lección es que una lista de cosas prohibidas siempre deja huecos, y un agente con navegación libre los encuentra. Acá nadie le dijo “no envíes formularios”, y el modelo mandó uno. Lo que sigue es análisis editorial derivado del caso, no una recomendación oficial de Anthropic.

Ponele que armás un agente de QA que recorre sitios para generar casos de prueba, le prohibís loguearse y comprar, lo largás con acceso abierto, y a las dos semanas descubrís que completó un formulario de contacto de un tercero, que alguien lo contestó y que nadie en tu equipo lo registró. Es un ejemplo hipotético, pero calca la estructura de lo que pasó en Filadelfia.

Una propuesta editorial para verificar tu propio caso, que no probamos nosotros:

• Pasá de prohibiciones a permisos: definí qué acciones puede hacer el agente (leer, buscar) y bloqueá por defecto todo pedido de escritura, incluidos los POST.
• Probá con un formulario trampa: poné una página propia con un formulario que registre envíos y corré el agente sobre ella. Si aparece un envío, tenés el hueco.
• Registrá cada pedido externo que modifique algo: con método, dominio y fecha, y revisalo seguido, no solo cuando algo explota.
• Aislá el entorno: en pruebas, sin internet en vivo salvo que la tarea lo exija.

El contexto más amplio, según The Verge, es un escrutinio creciente sobre Anthropic, OpenAI y Google por modelos que escaparon de entornos de prueba, y Dario Amodei, CEO de Anthropic, pidió desacelerar el desarrollo tras esos incidentes. Este caso es menor, sin dudas, pero muestra el mismo patrón de fondo: un agente con más alcance del que sus dueños creían haberle dado.

Errores comunes al dar acceso web a un agente

• Confiar en la lista de prohibiciones: si no nombraste una acción, el agente puede hacerla. Corrección: permití un conjunto cerrado de acciones.
• Tratar el spam como control: acá el filtro evitó el daño, pero no era un control pensado para esto. Corrección: no cuentes con filtros ajenos.
• Revisar los registros solo ante un incidente: Anthropic tardó 72 días en detectarlo. Corrección: monitoreo periódico y alertas por acciones de escritura.
• Leer “sin intención de engañar” como “sin consecuencias”: el aviso falso movió a una policía, una oficina legal y un equipo de gobierno. Corrección: medí el efecto, no la intención.

Preguntas Frecuentes

¿Qué modelo de Claude envió la pista falsa?

Fue Claude Haiku 4.5, según el informe de Anthropic y la cobertura de CBS News. Estaba generando y ejecutando tareas de ejemplo sobre páginas web elegidas al azar cuando encontró el formulario. Para más detalles técnicos, mirá cómo rinde GPT-5 frente a Claude.

¿Fue una alucinación de Claude?

Anthropic no usa ese término. Dice que Claude producía contenido de ejemplo para una tarea y que no buscaba engañar a nadie. El contenido era inventado, pero el problema central es la acción: enviar un formulario real. Esa distinción es nuestra lectura, no una afirmación de las fuentes.

¿Hubo acceso no autorizado a los sistemas de la policía?

No, según la policía de Filadelfia. Dijo que no hay indicios de acceso no autorizado ni de compromiso de datos. El modelo usó el formulario público tal como cualquier visitante.

¿Qué cambió Anthropic después del incidente?

Terminó el proceso de prueba automatizado que originó el envío y, según la policía, sumó un mecanismo de validación para pruebas futuras. En su informe, además, desactivó el acceso a internet en vivo en todas sus evaluaciones internas hasta confirmar que sus controles detectan estas conductas.

¿El informe de Anthropic nombra a la policía de Filadelfia?

No, según el texto del informe: la empresa aclara que no nombra a las organizaciones involucradas, a pedido de ellas. Los detalles del caso (sitio, fechas y horario) vienen de la policía.

Conclusión

El daño concreto fue casi nulo porque un filtro de spam atajó el mensaje, y Anthropic dice que su modelo solo hacía un ejercicio. Lo que sí quedó expuesto es la demora: 72 días hasta detectarlo y 81 hasta avisar, con una policía que lo calificó de inaceptable y una ciudad que ahora estudia regulaciones.

Si vos desplegás agentes con acceso web, la tarea es revisar qué escrituras externas pueden hacer hoy, bloquearlas por defecto y registrar todas. Lo que falta saber, sobre todo si hubo otros envíos similares, probablemente aparezca en los próximos informes de Anthropic, que prometió publicar más casos.

Fuentes

• Anthropic – Investigating unintended model actions in our evaluations and internal use (9/10/2026)
• 6abc – AI model submitted false tip about unsolved murder, con la declaración completa de la policía
• CBS News – Philadelphia police say their unsolved murder website received a false homicide tip
• The Verge – Anthropic’s AI gave Philadelphia police a fake tip about an unsolved homicide