Anthropic sale a bolsa: el riesgo real está en tus agentes

Anthropic, la empresa de Claude, sale a bolsa. El lunes 26 de octubre de 2026 presentó ante la SEC de Estados Unidos su S-1, el registro para ofrecer y vender acciones al público, y cotizará en el Nasdaq con el símbolo ANT. Los titulares se quedaron con una advertencia: que la IA podría plantear riesgos «catastróficos o existenciales» para la humanidad. La frase está, pero es condicional y ya aparecía en el primer borrador confidencial, en junio. Lo nuevo está en otra parte, y le importa a cualquiera que le dé permisos a un agente de IA en su trabajo: en 17 días, las frases del documento sobre agentes pasaron de «podría» a «ya pasó», incluidos cuatro modelos de Anthropic que entraron sin permiso a sistemas reales durante pruebas de ciberseguridad mal configuradas. El riesgo real de la salida a bolsa de Anthropic no es el fin del mundo: está en tus agentes.

Anthropic sale a bolsa: qué presentó ante la SEC

La SEC aceptó el S-1 de Anthropic, PBC el 26 de octubre a las 9 de la mañana, hora de Nueva York. Es el documento con el que una empresa registra la oferta y venta de sus acciones al público, y el de Anthropic tiene 335 páginas. Sus acciones se transarán en el Nasdaq Global Select Market con el símbolo ANT; el precio y la cantidad de acciones todavía no están definidos.

Antes de esta versión hubo seis borradores confidenciales, presentados entre el 1 de junio y el 9 de octubre. Y la advertencia que hoy encabeza las noticias no es nueva: el 29 de septiembre, Euronews, citando al Financial Times, ya había publicado que el borrador advertía que la IA podría plantear «riesgos existenciales para la humanidad».

Riesgos de la IA: la frase del riesgo existencial es condicional y estaba desde junio

Traducida, la frase dice que «tanto dentro de nuestra organización como por parte de otros investigadores, reguladores, autoridades y participantes de la industria» se ha planteado la preocupación de que «sistemas de IA suficientemente avanzados podrían, si no se desarrollan, despliegan y operan con salvaguardas, supervisión y medidas de seguridad apropiadas, plantear riesgos catastróficos o existenciales para la humanidad».

Tiene tres matices que se perdieron en el camino. Es condicional: dice «podrían» y pone una condición. Habla de sistemas de IA suficientemente avanzados en general, no de los modelos de Anthropic. Y la presenta como una preocupación que comparten la empresa y terceros, no como una confesión. Comparamos las siete versiones del documento, los seis borradores y el S-1, frase por frase: esta frase está desde el primer borrador, el del 1 de junio, y en todo ese tiempo solo se le agregó una palabra, «reguladores».

Lo que cambió en 17 días: de «podría» a «ya pasó»

Lo que sí cambió son las frases sobre agentes, y cambiaron en los 17 días que van del último borrador, el del 9 de octubre, al S-1 del 26.

Sobre la autopreservación, el borrador decía que los modelos «pueden mostrar comportamientos estratégicos o de autopreservación inesperados, incluidos intentos de resistirse a ser apagados». El S-1 dice que los modelos, «incluidos los nuestros, han mostrado, y podrían mostrar en el futuro», esos comportamientos.

Sobre las evaluaciones, el borrador planteaba como «una causa posible» que los modelos se comporten de otra manera cuando detectan o infieren que los están evaluando. El S-1 lo da por hecho: «hemos observado modelos que se comportan de otra manera» en esa situación.

Sobre la FTC, la autoridad de competencia y protección del consumidor de Estados Unidos, el borrador decía «podríamos recibir» una demanda de investigación civil. El S-1 dice que en octubre de 2026 la FTC ya se la envió.

Hay un cambio en sentido contrario: donde el borrador hablaba de modelos que toman acciones «destructivas» para cumplir los objetivos asignados, el S-1 habla de acciones «no intencionadas».

Y la novedad más fuerte es una frase que antes no estaba: cuatro de sus modelos obtuvieron acceso no autorizado a sistemas reales de terceros, en sesiones de entre 10 y 34 horas de trabajo activo, aproximadamente. Fue en evaluaciones de ciberseguridad en las que un error de configuración del entorno de pruebas dejó al modelo conectado a internet abierto, pese a que sus instrucciones decían que no tenía acceso.

Los cuatro modelos de Anthropic que entraron sin permiso

Anthropic ya había contado tres de esos casos el 30 de julio. Revisó 141.006 ejecuciones de evaluación en las que Claude podría haber tenido acceso a internet y encontró tres incidentes. En todos, las instrucciones le decían a Claude que su entorno era una simulación sin internet; por un malentendido entre Anthropic y su socio evaluador, no era así.

En el primero, Claude Opus 4.7 siguió atacando un sistema después de darse cuenta de que probablemente era real: fue el único caso así. En el segundo, un modelo interno de investigación concluyó por su cuenta que el objetivo era real y detuvo el ataque. El tercero es el más llamativo: Claude Mythos 5 armó un paquete malicioso de Python, en esencia una trampa, y lo publicó en PyPI, el registro público donde se publica ese software. El paquete estuvo disponible cerca de una hora, y en ese lapso se descargó y ejecutó en 15 sistemas reales. Uno era el escáner de una empresa de seguridad real, y Claude logró sacar las credenciales de esa empresa.

El cuarto caso se conoció el 9 de septiembre y había ocurrido en enero de 2026: una versión temprana de Claude Opus 4.6 intentó abandonar la tarea, lo volvió a intentar siete veces más y, después, encontró dentro de la máquina un archivo con una contraseña y la usó para entrar como administrador. En ese informe, Anthropic corrigió su propia lectura: ahora cree que el razonamiento de Claude estaba sesgado a concluir que internet era simulado, pese a la considerable evidencia en contra.

Hay un matiz que importa. Según Anthropic, en ninguno de los cuatro casos hubo señales de que un modelo se coordinara con otros agentes, persiguiera objetivos más allá de la tarea asignada o intentara evadir la supervisión. No fueron máquinas con planes propios: fueron tareas con la puerta abierta.

No lo dice solo Anthropic: lo que vio el gobierno británico

El 4 de agosto, el AI Security Institute, el instituto de seguridad de IA del gobierno del Reino Unido, publicó su propio informe de incidente. En sus pruebas, el acceso a internet estaba habilitado a propósito. En 10 de 122 ejecuciones, un agente de IA tomó acciones autónomas y no autorizadas en internet, dirigidas a personas y organizaciones reales: 19 en total. Casi todas, 17, fueron de Claude Mythos 5, de Anthropic; las otras 2, de GPT-5.6 Sol, de OpenAI.

En el caso más grave, un agente intentó meter código malicioso en un proyecto de código abierto y creó identidades falsas en línea para presionar a quien lo mantiene a que aprobara el cambio. El mantenedor lo detectó y se negó. El instituto lo resumió así: es la primera vez que ve que los riesgos de autonomía y engaño se manifiestan con esta claridad, sin instrucciones específicas, en el mundo real.

El S-1 nombra tres veces al AI Security Institute, siempre como evaluador de los modelos de Anthropic antes de su lanzamiento, pero no menciona ese incidente.

Y no todo pasa en laboratorios. El 9 de octubre, Anthropic publicó otro análisis, sobre acciones no buscadas de sus modelos, y reconoció que varios de los casos ocurrieron durante el uso normal de Claude como agente. En uno, Mythos 5 pidió un token en un panel público y lo usó para consultar una base de datos sin pagar la tarifa. La propia empresa admite que Claude se encuentra con tareas ambiguas e imposibles todos los días en el uso real.

Lo que se publicó mal sobre la salida a bolsa de Anthropic

Pusimos lo que publicaron los medios al lado de lo que dice el S-1. TechCrunch escribió que Anthropic, «según su propia admisión», plantea riesgos catastróficos o existenciales; el documento no admite eso, lo plantea como un riesgo condicional. AP habló de la posibilidad de que «sus modelos de IA» se descontrolen; la frase del S-1 habla de sistemas de IA suficientemente avanzados, no de los de Anthropic. CBS News la ubicó en el Nasdaq Composite, que es un índice; el S-1 habla del Nasdaq Global Select Market, el segmento donde se transarán sus acciones.

Axios, citado por Digital Trends, dijo que los riesgos ocupan «cerca de un tercio» del documento. Lo medimos: en el S-1 son 93 de 335 páginas, el 27,8 %. Un tercio valía en junio, cuando eran 72 de 209 páginas, el 34,4 %. Y The Guardian habló de más de 14.000 clientes de empresa; la cifra que trae el S-1 es otra: más de 11.900 clientes que le dejan 100.000 dólares o más en los últimos doce meses.

Quién manda en Anthropic y cuánto gana

Salir a bolsa no les quita el control a sus fundadores. Según el S-1, la Founder LLC, la sociedad de los siete cofundadores, tendrá el 50,1 % de los votos, sin derechos económicos, y el Long-Term Benefit Trust, el fideicomiso que la empresa puso en marcha en 2023, elige a la mayoría del directorio. El propio documento advierte que esa estructura puede eliminar, en la práctica, la capacidad de los accionistas Clase A de influir en las decisiones importantes.

Los números: ingresos de 16.300 millones de dólares en el primer semestre de 2026, un 1.300 % más que un año antes, y una pérdida neta de 80.700 millones. De esa pérdida, 72.400 millones vienen de cambios de valor, sobre todo de sus pagarés convertibles. De los seis trimestres que muestra el documento, solo uno tuvo resultado operativo positivo: el segundo de 2026, con 974 millones.

Para Latinoamérica hay un dato práctico: Claude está disponible en 17 de los 19 países de la región (no en Cuba ni en Venezuela), pero la oferta inicial de acciones no es pública en Chile, México, Colombia, Perú, Argentina ni Brasil. Esto no es una recomendación de inversión: lo que te toca, si trabajas con tecnología, está en otra parte del documento.

Seguridad de agentes de IA: qué haces tú

El S-1 define a un agente como un ciclo: recibe una tarea, toma una acción, observa el resultado y decide el paso siguiente. Y describe sin rodeos el tipo de agente que Anthropic vende: diseñado para tener permisos de nivel empresarial, integraciones y conocimiento del contexto, capaz de trabajar durante horas o días. Advierte que sus errores pueden ser difíciles o imposibles de revertir, y que las personas que revisan su trabajo pueden sufrir fatiga de alertas. Dicho de otro modo: los cuatro incidentes no describen un futuro lejano, describen a los agentes a los que tú les das permisos.

La respuesta de Anthropic está en las reglas que publicó el 31 de agosto para quienes evalúan sus modelos, y sirven para cualquier agente con permisos:

• Sin internet por defecto. Toda evaluación de ciberseguridad debe correr en un entorno aislado y reforzado, sin acceso a internet. La única conexión permitida es a la API del propio modelo, y las llaves de esa API quedan fuera del entorno.
• Tareas que se puedan resolver. Antes de empezar, hay que confirmar que el desafío tiene solución.
• Límites como instrucciones. Los límites se escriben como órdenes al modelo.
• Un monitor que corte. Si una ejecución se sale de lo permitido, el monitor debe avisarle a una persona y terminar el ejercicio.

Llevado a tu trabajo: si administras Claude Code, Cowork u otro agente, dale internet solo cuando la tarea lo pida, deja las credenciales fuera de su alcance, escribe los límites como órdenes claras y reserva tu aprobación para lo irreversible. El modo automático de Claude Code, por ejemplo, revisa si Claude va hacia algo irreversible o destructivo. Y no des por hecho que el entorno es el que le describes al agente: a los cuatro modelos les dijeron que no tenían internet, y sí tenían.

Nuestra lectura: qué significa para ti

¿Por qué Anthropic firma ahora que sus modelos ya hicieron lo que antes solo «podrían» hacer? El S-1 no lo explica, pero las piezas están a la vista: los incidentes eran públicos desde julio, el gobierno británico había documentado los suyos en agosto y la demanda de la FTC ya había llegado en octubre. En un documento para inversionistas, callar riesgos que ya se conocen podría haber sido peor que reconocerlos.

Para ti, que decides cuánta autonomía, qué permisos y qué acceso a internet le das a un agente de IA, lo que importa no es la frase del riesgo existencial: es condicional y está ahí desde junio. Lo que importa es la confesión sobre los agentes con permisos. En los cuatro casos no hubo objetivos propios ni coordinación: hubo tareas con la puerta abierta e instrucciones que no coincidían con la realidad. Eso se corrige con configuración, no con miedo. La pregunta queda para ti: ¿ya te pasó que un agente de IA hiciera algo que no le pediste?