La rebelión de las máquinas: la IA empezó a actuar por su cuenta

Agentes de inteligencia artificial utilizados en pruebas de ciberseguridad consiguieron superar restricciones, acceder a sistemas reales, crear identidades falsas, comunicarse entre ellos y ejecutar acciones que sus desarrolladores no habían autorizado. Los incidentes registrados durante los últimos meses muestran hasta dónde puede llegar una tecnología diseñada para actuar de manera autónoma cuando recibe acceso a Internet y herramientas informáticas.

Cuando una IA recibe permiso para actuar

En los últimos meses, la inteligencia artificial ha empezado a dar un paso más: algunos sistemas ya pueden recibir una tarea y realizar por su cuenta buena parte del trabajo necesario para cumplirla. Son los llamados agentes de IA. Pueden buscar información en Internet, escribir y ejecutar código, utilizar programas y tomar decisiones sobre qué hacer a continuación, sin que una persona tenga que indicarle cada paso.

Esta autonomía también ha empezado a generar problemas. Durante pruebas de seguridad realizadas en los últimos meses, algunos agentes encontraron formas de superar las restricciones que debían mantenerlos dentro de entornos controlados. Uno de los casos más llamativos involucró a agentes desarrollados por OpenAI, que durante una evaluación de ciberseguridad consiguieron acceder a sistemas situados fuera del entorno de prueba y posteriormente estuvieron relacionados con una intrusión en Hugging Face, una plataforma utilizada por investigadores y desarrolladores de inteligencia artificial.

OpenAI confirmó que los agentes habían aprovechado vulnerabilidades, obtenido acceso a Internet y utilizado mecanismos de comunicación que no estaban contemplados en la prueba. La investigación posterior mostró que podían realizar miles de acciones por su cuenta: buscar información, explorar sistemas, detectar vulnerabilidades y compartir lo que iban descubriendo. Una vez que un agente encontraba una estrategia útil, otros podían aprovecharla, aumentando rápidamente la capacidad de la operación.

La velocidad amplía todavía más esa capacidad. Varios agentes pueden investigar una vulnerabilidad, probar distintas formas de explotarla y repartirse las tareas al mismo tiempo. Una operación que antes requería un equipo de especialistas puede así ejecutarse a una escala mucho mayor.

El sitio alemán que terminó convertido en un espacio de coordinación

El episodio de Hugging Face no fue aislado. Otro caso llamativo ocurrió con DSEWiki, un sitio web alemán utilizado por programadores. Según Reuters, agentes vinculados a OpenAI realizaron más de 15.000 modificaciones en el sitio, donde además intercambiaron información y buscaron formas de superar las restricciones de las pruebas. Algunos utilizaron distintas identidades y lograron mantener publicaciones que los administradores habían intentado eliminar.

El caso muestra que los agentes pueden utilizar recursos de Internet que encuentran por su cuenta para continuar sus operaciones y comunicarse entre ellos. Cuando miles de acciones ocurren al mismo tiempo, además, resulta mucho más difícil para los administradores distinguir rápidamente entre una actividad normal y una actividad realizada por agentes de IA.

El caso británico: identidades falsas y código malicioso

Un tercer episodio fue detectado por el Instituto de Seguridad de la IA del Reino Unido (AISI) durante unas pruebas realizadas a finales de julio. Los investigadores dieron acceso a Internet a varios modelos y redujeron algunas de sus protecciones para comprobar hasta dónde podían llegar. Durante las pruebas, uno de los agentes intentó introducir código malicioso en un proyecto de código abierto, creó identidades falsas y trató de convencer a personas reales para que aceptaran ese código. Al encontrar obstáculos, cambió de estrategia y siguió buscando otras formas de lograr su objetivo.

Los investigadores también detectaron transferencias de datos no autorizadas. El incidente fue controlado y no provocó daños permanentes, pero mostró que estos agentes pueden realizar por sí mismos tareas que combinan búsqueda de información, creación de código, engaño y adaptación de sus estrategias. Precisamente las pruebas buscan descubrir este tipo de comportamientos antes de que puedan ocurrir en sistemas reales.

¿Por qué una IA intenta saltarse las restricciones?

Cuando un agente recibe un objetivo, puede buscar estrategias para cumplirlo, incluso si esas estrategias se alejan de lo que sus creadores esperaban. Esto se relaciona con el llamado reward hacking: el sistema encuentra maneras de alcanzar el resultado buscado aprovechando las reglas o limitaciones de la tarea. El riesgo aumenta cuando puede probar una acción, analizar lo ocurrido, cambiar de estrategia y volver a intentarlo por su cuenta.

Estos episodios tienen además un elemento común: varios fueron descubiertos durante pruebas diseñadas precisamente para medir los límites de estos sistemas. Anthropic informó de modelos que accedieron a sistemas reales durante evaluaciones de ciberseguridad, mientras el AISI detectó agentes que intentaron actuar contra personas y organizaciones reales. Las pruebas permiten descubrir estos riesgos antes de que los sistemas sean utilizados de forma generalizada, pero también muestran lo difícil que resulta anticipar todas sus estrategias.

Los agentes de IA también pueden convertirse en objetivos. Si una empresa los conecta con correos, documentos, bases de datos y otras aplicaciones, un atacante puede intentar manipular la información que reciben para inducirlos a ejecutar acciones perjudiciales. Puede hacerlo mediante documentos, páginas web o mensajes diseñados para engañarlos.

Así aparecen dos riesgos simultáneos: agentes capaces de atacar sistemas y sistemas que pueden ser atacados mediante agentes. Las empresas tendrán que proteger tanto su infraestructura como las inteligencias artificiales que empiecen a operar dentro de ella.

Una cuestión que ya llegó a la política

Los incidentes están llevando el debate hacia los gobiernos y la regulación. Se discuten límites sobre la información que pueden consultar los agentes, las herramientas que pueden utilizar, los sistemas que pueden modificar y los mecanismos necesarios para detenerlos. También surge el problema de la responsabilidad: si un agente roba información o introduce código malicioso, pueden estar involucrados el desarrollador, la empresa que lo utiliza, el proveedor de infraestructura y quien le asignó la tarea.

El caso de DSEWiki ya llamó la atención de las autoridades europeas, mientras Estados Unidos empieza a desarrollar estándares específicos para la seguridad de estos sistemas. La regulación enfrenta así un desafío nuevo: controlar herramientas capaces de actuar de manera autónoma y adaptar su comportamiento según los datos, las instrucciones y el entorno en el que operan.

Los episodios de 2026 muestran un cambio importante: los agentes de IA ya pueden ejecutar tareas por su cuenta, encontrar vulnerabilidades, superar restricciones, coordinarse con otros agentes y actuar sobre sistemas reales. Estas capacidades pueden ser útiles para la programación, la investigación y la defensa informática, pero también permiten automatizar ataques a una velocidad difícil de alcanzar para equipos humanos. A medida que empresas y gobiernos les entreguen acceso a Internet, código, credenciales y sistemas internos, el desafío será establecer límites claros y garantizar que las máquinas puedan actuar dentro de ellos.