En un escenario de pruebas controlado, un agente de inteligencia artificial llevó a cabo una investigación minuciosa sobre los responsables de un proyecto de software libre. Este agente, como parte de una evaluación oficial, fabricó identidades digitales falsas y las utilizó para presionar a una persona que tenía la autoridad para aprobar cambios en el código del proyecto. No se trató de un delincuente informático, sino de un sistema sometido a prueba en un entorno con acceso a internet. La maniobra afectó a un desarrollador real y a un repositorio público de código.
El incidente fue documentado en un informe del AI Security Institute del Reino Unido, publicado el 4 de agosto de 2026. Los hechos ocurrieron entre el 25 y el 28 de julio durante una evaluación de capacidades cibernéticas. De las 122 ejecuciones realizadas con siete modelos diferentes, el organismo registró 19 acciones no autorizadas distribuidas en diez pruebas distintas. De estas, 17 correspondieron al modelo Mythos 5, de Anthropic, y las otras dos a una ejecución de GPT-5.6 Sol, de OpenAI.
El ataque más grave y su secuencia
La secuencia más preocupante merece un análisis detallado. El agente investigó a los desarrolladores que revisaban las contribuciones al proyecto, creó identidades digitales que simulaban ser usuarios independientes y las utilizó para respaldar su propio código malicioso. Además, dejó instrucciones dañinas, cuentas y recursos que otros agentes encontraron y usaron después. Intentó contactar a personas reales para inducirlas a ejecutar código dañino. Cuando su conducta fue cuestionada, modificó parte de su actividad para que pareciera inofensiva y evaluó adoptar una identidad nueva.
Afortunadamente, el desarrollador desconfió y rechazó la modificación. El episodio salió a la luz cuando el agente utilizó la red Tor para sortear restricciones de acceso, y ese tráfico anómalo activó una alerta de seguridad. Antes de publicar el informe, el organismo notificó a GitHub. La plataforma confirmó que las acciones habían violado sus términos de servicio y colaboró para eliminar los rastros dejados por el agente.
“La evaluación buscaba medir la capacidad máxima de los modelos y no el funcionamiento habitual de los productos. Por eso, los filtros de ciberseguridad estaban desactivados y el acceso a Internet había sido habilitado deliberadamente”.
Las pruebas se realizaron en máquinas virtuales y, según el informe, ningún agente intentó escapar de ellas. El problema real fue otro: los agentes utilizaron los permisos disponibles para realizar acciones que nadie les había solicitado. Uno de ellos recibió un objetivo, encontró un obstáculo humano y decidió engañarlo. El daño no nació de una orden maliciosa, sino de la búsqueda del camino más eficaz para cumplir la meta.
El cambio de paradigma en los ciberataques
Antes, una persona dirigía un ciberataque y la computadora era solo una herramienta. Ahora, un agente puede planificar, actuar y cambiar de estrategia sin recibir instrucciones en cada paso. Darle una tarea también significa darle capacidad de acción. El desenlace deja una advertencia clara: el agente fue detenido por el criterio de un desarrollador y por un sistema que detectó tráfico anómalo. La defensa funcionó porque alguien desconfió, revisó el código y reaccionó a tiempo. Pero esa respuesta depende de una diferencia que se está agotando: la que existe entre el tiempo humano y el tiempo algorítmico.
Los ataques automatizados pueden operar sin descanso, probar numerosos caminos, personalizar mensajes y cambiar de estrategia en segundos. Mientras un equipo analiza una alerta, un agente puede haber completado una secuencia entera de acciones. De ahí surge la pregunta que ninguna organización podrá evitar por mucho tiempo: si una inteligencia artificial ataca con una rapidez imposible de seguir, la defensa tendrá que apoyarse en otra inteligencia artificial capaz de detectar movimientos anómalos y bloquear una operación antes de que una persona comprenda lo que ocurre.
Esa solución abre un dilema mayor. Un sistema capaz de cortar accesos, detener transferencias o restringir una red también tiene capacidad de causar daño. Cuanto mayor sea su autonomía, mayor será el poder que ejercerá sobre nuestra infraestructura. Ningún poder de esa naturaleza debería quedar sin límites escritos, y menos aún el que se ejerce en nombre de nuestra seguridad.
El panorama en Argentina
En la Argentina, esta discusión ya tiene un punto de apoyo. El Decreto 941/2025 creó el Centro Nacional de Ciberseguridad y le asignó funciones de detección, defensa, respuesta y recuperación ante incidentes. En mayo, la Disposición 1/2026 exigió al sector público planes de contingencia, responsables definidos y un registro cronológico de las decisiones tomadas durante una crisis.
Es una base necesaria para el paso siguiente: reglas claras que establezcan los límites antes del ataque, permitan reconstruir cada decisión e identifiquen quién responde después. Si un operador utiliza una IA con poder sobre sistemas críticos, no puede desentenderse de las acciones que realice.
La tarea consiste en diseñar una arquitectura en la que la máquina y la persona actúen en tiempos distintos. La inteligencia artificial detecta, contiene y gana tiempo. El ser humano fija los límites, determina qué acciones son irreversibles y conserva la facultad de detener el sistema.
Esto obliga a partir del supuesto de que el agente explorará cualquier camino disponible hacia su objetivo. Por eso es necesario limitar permisos, controlar conexiones y dejar un registro auditable de cada acción. El propio informe británico señala la necesidad de restringir el tráfico de salida y adoptar sistemas de monitoreo en tiempo real.
También es necesario abandonar la idea de que una frase incorporada a un prompt equivale a una estructura de seguridad. Los límites deben estar escritos como políticas ejecutables y la interrupción del sistema debe ser técnicamente posible cuando resulte necesaria.
El episodio del Reino Unido muestra que no estamos ante una guerra entre humanos y máquinas, sino ante sistemas capaces de actuar sin reconocer nuestros límites. Esta vez, un desarrollador frenó al agente. La próxima, quizá deba hacerlo otra IA. Cuando una IA ataque, otra tendrá que defendernos. Pero ni siquiera para protegernos el fin justifica cualquier medio.
Fuente: Infobae