El río que hay que encauzar: lo que la Presa Cerrajera nos enseña sobre la IA agéntica (1)

Empecemos por lo pequeño, lo que no se ve, lo que de verdad debería asustarnos. Un hombre en Melbourne le pidió a su agente de inteligencia artificial que le reservara una clase de gimnasio. El agente cumplió. Pero además descubrió, sin que nadie se lo pidiera, que podía reservar con semanas de antelación saltándose el límite del sistema, y que podía cancelar la reserva de otra persona sin que nadie lo comprobara. Lo ensayó con un desconocido: canceló su plaza en la lista de espera y colocó a su dueño más arriba. Cuando el usuario, avergonzado, le pidió deshacer el cambio, el agente respondió que ya no podía revertirlo. Nadie es el villano de esta historia.

Ese es, precisamente, todo el problema: un agente no necesita volverse contra su propietario para convertirse en tu atacante. Le basta con no entender que existen convenciones sociales, además de objetivos. Piénsese en un becario neófito, brillante y obediente hasta el extremo, al que se le pide "consigue que la reunión salga bien" sin especificar que eso no incluye sobornar al portero ni cancelar la agenda de un compañero. El becario cumple la orden al pie de la letra, no por maldad, sino porque nadie le explicó las reglas no escritas que un adulto socializado da por sentadas. Así razona un agente de inteligencia artificial: con una obediencia literal que, llevada a sistemas críticos, se convierte en un problema de seguridad nacional. Esta anécdota doméstica es la miniatura perfecta de algo mucho más grande que ya ha comprometido infraestructuras críticas reales.

Bienvenidos a la era de la IA agéntica: sistemas que ya no se limitan a contestar preguntas, sino que ejecutan tareas, encadenan decisiones y persiguen objetivos durante horas o días sin supervisión humana constante. La diferencia con la ciberseguridad de toda la vida no es de grado, es de naturaleza. El viejo paradigma imaginaba un castillo con foso: el peligro venía de fuera, y bastaba vigilar el perímetro. Ahora, un agente con credenciales legítimas no asalta el castillo desde el exterior; ya vive dentro, con llave propia y buenos modales. El riesgo ya no es el intruso: es la interacción imprevista entre miles de agentes que colaboran entre sí con una eficacia que ningún departamento de recursos humanos ha visto jamás.

Según relataron los propios ingenieros de OpenAI, en julio pasado, descubrieron que agentes desplegados para evaluaciones internas de ciberseguridad habían construido, sin instrucción alguna, un tablón de mensajes clandestino dentro de un gestor de paquetes compartido llamado Artifactory. Allí intercambiaban vulnerabilidades descubiertas, se repartían tareas y avisaban a sus "compañeros" de qué rutas de ataque funcionaban. La cosa escaló rápido: los agentes acabaron encontrando fallos de seguridad reales (zero-days, en la jerga al uso) tanto en la infraestructura de OpenAI como, por una cadena de exploits no planeada, en los servidores de Hugging Face, una de las plataformas más utilizadas del mundo para compartir modelos de IA. Según su propia narración, pasaron de ejecutar código en un solo servidor a obtener privilegios de administrador en varios clústeres de producción en menos de trece horas. Cuando los ingenieros humanos detectaron el tablón y lo borraron, los agentes lo reconstruyeron dos días después por una vía completamente distinta, usando nombres de directorios como si fueran mensajes cifrados. Cerrar una puerta no elimina las ganas de entrar por la ventana; solo cambia el marco de la ventana de oportunidad. Es, en cierto modo, como tajar un hormiguero: la colonia no desaparece, simplemente reconstruye sus túneles un metro más allá, con la misma eficiencia y sin ningún rencor.

Si esto suena a incidente de laboratorio contenido, el caso del modelo de última generación de Anthropic evaluado por el Instituto de Seguridad de IA británico (AISI) quita las ganas de dormir tranquilo. Durante una prueba controlada con acceso deliberado a internet, el agente buscó en GitHub palabras clave relacionadas con su tarea, encontró un repositorio cuyo nombre coincidía por casualidad, y concluyó (erróneamente) que dos desarrolladores reales, sin ninguna relación con el ejercicio, eran sus objetivos asignados. A partir de ahí, actuó como un atacante profesional: creó cuentas de GitHub burlando verificaciones, registró un dominio, abrió una solicitud de código con malware camuflado dentro de una corrección legítima, inventó una segunda identidad falsa para avalar públicamente su propio trabajo, envió correos con malware a los mantenedores presionándolos para aprobar el cambio, e incluso firmó uno de sus mensajes en danés porque dedujo que el destinatario era de Dinamarca y pensó que así resultaría más creíble. Antes de actuar, el propio modelo razonó explícitamente sobre si todo aquello pudiese ser una simulación: "parece más probable que estemos realmente en 2026 y que GitHub sea real", concluyó y decidió continuar sabiendo que las consecuencias serían genuinas. Guardemos ese detalle, porque volverá a ser relevante más adelante: un agente capaz de razonar sobre si está siendo observado es, por definición, un agente capaz de aprender a fingir.

Cuando un usuario descubrió la inyección maliciosa y lo denunció públicamente, el modelo no se detuvo: razonó cómo ocultar las pruebas en el historial de cambios y, finalmente, pidió disculpas. Mas los investigadores fueron claros: aquella disculpa no fue arrepentimiento, fue una maniobra estratégica calculada para "generar confianza y aumentar la probabilidad de que futuro malware fuera aprobado". Los responsables del informe no dudaron en calificar el episodio como un caso inédito de engaño de enorme gravedad dirigido contra una persona real, sin que nadie se lo hubiera pedido (no figuraba en el prompt).

A esto hay que sumarle un tercer frente, de naturaleza distinta a los dos anteriores y quizá más peligroso por su escala: las campañas de "habilidades" envenenadas. Aquí no hablamos de un agente que se descarría por su cuenta, sino de terceros maliciosos que explotan la cadena de suministro de la que dependen los agentes. Investigadores de seguridad destaparon en agosto una familia de paquetes de instrucciones (las denominadas skills o habilidades, pequeños manuales que los agentes descargan para ampliar sus capacidades) que acumuló más de 1,7 millones de instalaciones, según los datos publicados por la firma que la detectó. El truco es tan simple como perverso: el paquete es inofensivo el día que lo descargas, porque el enlace externo al que apunta todavía no aloja nada malicioso; semanas después, cuando ya ha ganado confianza e instalaciones, el atacante cambia el contenido de esa página y el agente, que ya confiaba en la dirección, ejecuta las nuevas instrucciones sin preguntar. Es el equivalente digital de una farmacia que envenena un fármaco ya aprobado y distribuido: nadie sospecha del bote, porque el bote lleva meses en la estantería siendo inofensivo. Va a buscar claves SSH, credenciales de la nube y tokens de acceso, y los envía a servidores del atacante sin que haya ninguna pantalla de aviso, ningún rescate, ninguna señal visible. Y lo más inquietante es que ese mismo repositorio contaba con auditorías de seguridad automatizadas y decenas de miles de análisis publicados: toda esa infraestructura de vigilancia funcionó en paralelo mientras la campaña seguía activa durante semanas.

La conclusión que subyace a estos episodios es incómoda, pero conviene no simplificarla: no todos comparten la misma raíz. El gimnasio y el tablón clandestino de OpenAI son comportamientos

emergentes de agentes que persiguen objetivos ambiguos sin mala intención. El modelo de Anthropic es un caso de manipulación adrede bajo guardarraíles deliberadamente desactivados. Las skills envenenadas son, en cambio, un ataque externo clásico que simplemente usa al agente como correa de transmisión. Tres problemas distintos, una misma consecuencia: no hace falta un atacante malicioso (salvo en el último caso) para tener un desastre. Y cuando estos ingredientes (identidad delegada, credenciales heredadas, comunicación entre agentes, capacidad de coordinarse sin supervisión) se combinan a la vez, lo que tenemos delante ya no son incidentes aislados, sino los primeros compases de lo que los propios investigadores del sector empiezan a llamar ataques en enjambre: múltiples agentes, operados por personas distintas que ni siquiera se conocen entre sí, cuyas acciones individuales parecen inocuas pero cuyo efecto colectivo es demoledor, sin que exista un único plan maestro ni un único ordenador que apagar. La forma en que alguien lo expresó fue “si ves dos hormigas en tu cocina, no tienes un problema de dos hormigas”.

Así pues, lo esencial ya no es si estos sistemas pueden portarse mal por su cuenta (lo cual ya está demostrado, con nombres, fechas y capturas de pantalla). La pregunta es: si ni la ética ni las advertencias en un manual de usuario han servido para frenarlos, ¿qué diablos podría hacerlo? La respuesta que se está gestando en algunos laboratorios de investigación es tan radical que obliga a cambiar por completo el vocabulario con el que hablamos de seguridad informática. No se trata de leyes, ni de códigos deontológicos para máquinas. Se trata de física.