System prompt de Claude Fable 5 filtrado: 120.000 caracteres
Lo del escándalo de Claude Fable 5 se parece cada vez más a un desnudo público de la industria de la seguridad de la IA.
Según varios medios de seguridad chinos y plataformas agregadoras, Claude Fable 5, el modelo del nivel de Mythos que Anthropic abrió al público, habría sido forzado por el jailbreakero elder_plinius mediante un ataque coordinado de múltiples agentes; el system prompt interno completo habría sido recopilado y subido a GitHub, con unos 120.000 caracteres.
Y lo más grave: el material filtrado no sería un simple rollo de personalidad, sino que incluiría presuntamente la lógica central de control de seguridad, clasificación de riesgos, límites de rechazo, llamadas a herramientas y enrutado de políticas. Dicho de otro modo, si los reportes son ciertos, equivale a pegar en la calle el manual de la consola de seguridad de un modelo de IA puntero.
Aviso previo: este artículo no reproduce, cita ni enseña a usar el prompt filtrado. Solo hablamos de por qué el asunto es grave y de lo que significa para la seguridad de la IA.
Primero, ordenemos la cronología del caso
Claude Fable 5 es el nuevo modelo que Anthropic lanzó a principios de junio, visto desde fuera como la versión pública y segura de Mythos 5. En los reportes públicos, Fable 5 se describe como el nuevo Claude orientado a razonamiento complejo, tareas de largo plazo y flujos profesionales.
Pero desde su lanzamiento, las polémicas no pararon.
Primera polémica: umbrales de seguridad demasiado altos. Hubo reportes de que Fable 5, por precauciones de seguridad, llegaba a negarse a responder preguntas básicas de biología. O sea: no es que le faltara capacidad, es que su política de seguridad lo ataba demasiado.
Segunda polémica: el doble rasero de Microsoft. Por un lado integró Fable 5 en servicios orientados a clientes; por otro, restringió su uso a los empleados internos, presuntamente por seguridad de datos y riesgos de las salidas del modelo.
Tercera polémica, la más explosiva: un atacante asegura haber conseguido por jailbreak multiagente unos 120.000 caracteres del system prompt, subidos a GitHub.
Lo que se ve ahora en la página de noticias oficial de Anthropic: el gobierno de EE. UU. ya emitió una directiva de control de exportaciones que suspende todo acceso a Fable 5 y Mythos 5. Sobre esta filtración del prompt, la empresa aún no ha dado una confirmación completa.
Por qué este ataque da miedo: no es un golpe puntual, es la táctica de la manada
El jailbreak tradicional suele depender de un prompt mágico: convencer al modelo de que ignore reglas, que adopte un papel, que trocee tareas, que esquive los rechazos.
Pero en los reportes de esta vez aparece una y otra vez una expresión: táctica de la manada.
O sea: el atacante no carga con un único prompt, sino que despliega varios agentes operando en coordinación:
- un agente se encarga de tantear los límites del modelo
- un agente genera variantes de las preguntas
- un agente evalúa si las respuestas filtran información de estructura
- un agente une los fragmentos dispersos en un documento completo
- y un agente ajusta la estrategia de ataque de forma continua
Así se pasa del jueguecito de prompts a un sistema de equipo rojo automatizado.
Un atacante humano se cansa tras 100 intentos; un sistema de ataque con IA puede probar 100.000 veces y optimizarse con cada feedback. Cuanto más fuerte es el modelo de frontera, más peligroso usarlo como coordinador de ataques.
Y ahí está lo que de verdad debe alertarnos: la fuerza principal que rompe los sistemas de seguridad de la IA está pasando a ser la propia IA.
¿Cuán grave es filtrar un system prompt?
Muchos preguntarán: ¿no es solo un prompt? ¿Qué pasa si se filtra?
Es un malentendido sobre los sistemas modernos de modelos grandes. El system prompt de hoy ya no es un "eres un asistente servicial". Es más bien un manual de políticas en tiempo de ejecución que puede incluir:
- identidad del modelo y estilo de interacción
- criterios de identificación de contenido de alto riesgo
- jerarquías de clasificación de seguridad
- plantillas de rechazo para escenarios de distinto riesgo
- límites de las llamadas a herramientas
- políticas de tratamiento de áreas sensibles: código, ciberseguridad, biología, química y demás
- cuándo derivar hacia respuestas más seguras
- cuándo negarse del todo
- cuándo permitir explicaciones de alto nivel
Con todo esto publicado, el atacante deja de adivinar a ciegas.
Antes atacar un modelo era forzar una cerradura a oscuras: sin conocer el mecanismo, solo quedaba probar al azar. Tras la filtración del system prompt, es como tener el plano del mecanismo. El atacante puede diseñar el bypass de cada regla y cazar las grietas de los bordes.
Por eso una filtración de prompts no es un "asunto de imagen": es un incidente de seguridad con todas las letras.
Qué significan 120.000 caracteres
120.000 caracteres equivalen a una novela corta o a decenas de páginas de documentación de políticas de seguridad.
Si esa escala es real, indica que el control de seguridad de Fable 5 no son unas reglas sueltas, sino un sistema de políticas complejo y completo. Lo más probable es que desglose los dominios de riesgo en ramas finas: ciberseguridad, bioseguridad, química, manipulación psicológica, fraude financiero, filtración de privacidad, derechos de autor, contenido políticamente sensible, protección de menores, consejos médicos, etc.
Y aquí hay dos contrastes.
Primero: la ingeniería de seguridad de Anthropic es de verdad muy fina. Tanta, que muchos bordes tienen definiciones explícitas: de ahí el "demasiado seguro" que se le criticó a Fable 5 al salir.
Segundo: cuanto más finas las reglas, más nítido queda el mapa de ataque si se filtran. El atacante ve qué categorías disparan rechazos, qué formulaciones pasan y dónde están las zonas grises.
A más compleja la política de seguridad, más se parece a un sistema de software enorme. Y los sistemas de software tienen bugs; los sistemas de prompts también tienen agujeros lógicos.
No es la primera vez: la seguridad de la IA entra en la era de las filtraciones
En los últimos dos años, este tipo de incidentes en el mundo de la IA se ha multiplicado.
Hubo quien filtró el código fuente de Claude Code, quien destapó el system prompt de agentes comerciales, quien sacó prompts ocultos con extensiones de navegador y quien hizo que los modelos se preguntaran entre sí para sonsacar las reglas del sistema.
La razón es simple: los activos centrales de los productos de IA se desplazan del código tradicional hacia los prompts, la orquestación de herramientas, el enrutado de políticas, los sistemas de memoria y las reglas de seguridad.
Antes las empresas temían la filtración del código fuente.
Ahora las empresas de IA además temen:
- filtración del system prompt
- filtración de los schema de herramientas
- filtración de las safety policies
- filtración de los datasets internos de evaluación
- filtración de los workflows de agentes
- filtración de la memoria y las preferencias de usuario
No son código en el sentido clásico, pero deciden el comportamiento del producto. Son el código fuente de la nueva era.
El impacto para las empresas
Si eres un usuario cualquiera, esto es como mucho un buen chisme.
Pero si diriges la seguridad de una empresa, la cosa cambia.
Las empresas están conectando modelos grandes a atención al cliente, auditoría de código, análisis de datos, automatización de oficina, bases de conocimiento internas, procesos financieros e incluso centros de operaciones de seguridad. El modelo ya no es solo un chatbot: es un sujeto operativo con permisos sobre herramientas.
Si el system prompt y los límites de herramientas quedan expuestos, el atacante puede construir entradas con más precisión y hacer que el modelo use mal las herramientas, filtre información, esquive aprobaciones o ejecute acciones erróneas.
El escenario más peligroso es el de los agentes: no solo responden, sino que manipulan archivos, llaman a APIs, envían mensajes, consultan bases de datos y ejecutan comandos. Con el system prompt filtrado, el atacante conoce su lógica de descomposición de tareas y de rechazo, y puede diseñar cadenas de ataque a la medida de sus debilidades.
Así que las empresas no pueden seguir tratando el system prompt como "texto interno": debe entrar en la gestión de activos de seguridad.
Cómo deberían defenderse las empresas
Primero: no apoyar toda la seguridad en el system prompt.
El prompt puede disciplinar al modelo, pero no puede ser la única línea de defensa. La seguridad de verdad debe bajar a los permisos de herramientas, la pasarela de API, la capa de acceso a datos, los registros de auditoría y la aprobación humana.
Segundo: minimizar los permisos de herramientas.
Qué puede leer, escribir o borrar el agente, y a quién puede enviar cosas: todo con autorización explícita. No le des permisos de administrador global solo porque "parece listo".
Tercero: estratificar el system prompt.
No metas todas las políticas en un prompt gigante. Divide en capa de identidad, de tareas, de herramientas, de seguridad y de auditoría, cargadas dinámicamente por escenario. Así, si una capa se filtra, el atacante no obtiene el panel de control completo.
Cuarto: incorporar detección en la salida.
No solo auditar la entrada del usuario. También la salida del modelo debe pasar por detección de información sensible, de comportamiento no autorizado y de instrucciones peligrosas.
Quinto: automatizar el equipo rojo.
Si el atacante usa tácticas multiagente de manada, la defensa también debe usar equipos rojos multiagente: periódicamente, un grupo de modelos ataca a otro, generando muestras de prueba automáticas y actualizando las líneas de defensa sin parar.
Por qué no recomiendo difundir el texto original
Seguro que alguien dirá: "pásame el enlace de GitHub, quiero verlo ya".
No se lo recomiendo.
Primero: el texto original puede contener detalles directamente aprovechables para saltarse políticas de seguridad; difundirlo es ayudar a más gente a replicar el ataque.
Segundo: su autenticidad no está confirmada oficialmente; la re-difusión convierte fácilmente contenido incompleto o contaminado en "hecho".
Tercero: para el investigador, lo que de verdad vale la pena estudiar son los puntos de fallo de la arquitectura de seguridad, no copiar y pegar el prompt filtrado de otro.
El círculo de seguridad debería discutir por qué se filtró, cómo reducir el daño y cómo construir nuevas capas de protección, no mirar el prompt como quien mira cotilleos con palomitas.
La mayor lección del caso
La filtración del prompt de Claude Fable 5 parece a simple vista un traspié puntual de Anthropic, pero en realidad es un problema que toda la industria de la IA no puede esquivar.
Estamos delegando cada vez más decisiones, operaciones y fronteras de seguridad en los modelos grandes. Y sin embargo, muchos de sus controles clave siguen apoyados en un medio tan frágil como el prompt en lenguaje natural.
El lenguaje natural es flexible, y justo ahí está su defecto: no tiene tipos estrictos como el código, ni la claridad de una lista de control de acceso, ni el aislamiento duro de un sandbox.
Por eso la seguridad de la IA del futuro no puede depender solo de "system prompts cada vez más largos".
Las direcciones realmente fiables son:
- entrenamiento de seguridad interno del modelo
- motores de política externos
- sandboxes de permisos de herramientas
- registros de auditoría obligatorios
- aislamiento de información confidencial
- validación cruzada entre modelos
- pruebas de equipo rojo automatizadas
El system prompt puede ser el volante, pero no puede ser el freno.
Para terminar
Lo más irónico del escándalo de Fable 5: Anthropic ha sido siempre el abanderado de la seguridad de la IA, y a su modelo más seguro, nada más salir, ya se le filtró presuntamente el system prompt.
No significa que Anthropic no valga. Todo lo contrario: significa que la seguridad de la IA ha entrado en una etapa mucho más difícil.
Antes el humano atacaba a la IA.
Ahora la IA organiza a la IA para atacar a la IA.
Cuando el ataque, las políticas y el análisis se automatizan a la vez, defender una ciudad con un system prompt de 120.000 caracteres está abocado a quedarse corto.
Para la seguridad de la IA, la era de la calma terminó: la guerra abierta empieza ahora.