Esta semana he leído la noticia con la misma mezcla de risa nerviosa y mal cuerpo que te entra cuando un cliente te enseña un plugin de WordPress instalado desde un hilo de Telegram. Según The Guardian, un equipo de investigación consiguió comprometer cuentas de empleados de OpenAI usando, entre otras cosas, el propio Claude de Anthropic para generar código de ataque. Llegaron hasta un entorno interno en GitHub con un pull request inofensivo en apariencia. Ironía aparte, lo que me preocupa no es el titular del duelo de modelos: es que el mismo patrón lo estamos replicando en miles de pymes que ya tienen un agente con acceso al repo, al hosting y a las claves de Stripe.
OpenAI ha confirmado el programa de recompensas bajo el que actuó Hacktron; Anthropic, por su parte, lleva meses vendiendo la idea de que su stack es el prudente. Yo no compro el relato de “la IA buena contra la IA mala”. Compro el de superficie de ataque ampliada. Cuando un chatbot puede escribir exploits, encadenar credenciales robadas y proponerte el siguiente paso del ataque, el cuello de botella deja de ser el hacker humano con café y pasa a ser la automatización mal acotada. Y aquí encaja demasiado bien con lo que publicó The Register un día antes: Plugin4Shell, un fallo de cadena de suministro que afecta a los agentes de coding más usados y que en algunos casos permite ejecución remota sin que el desarrollador haga clic en nada.
En mi experiencia con equipos de web, el problema no es que nadie lea el CVE. Es que nadie asume que el agente de IA es software con privilegios. Lo tratamos como un becario brillante al que le pasas el FTP “solo esta vez”. Claude Code, Codex, Copilot en el IDE, el plugin de WordPress que “te optimiza el CSS”: todos comparten la misma promesa de productividad y el mismo fallo de diseño si no los encierras. Plugin4Shell explota precisamente esa confianza en pins SHA y marketplaces de plugins que el agente actualiza solo. Anthropic y OpenAI han parcheado sus herramientas en versiones concretas; Microsoft, según el informe, arrastra el arreglo. ¿Cuántos de tus compañeros siguen en una versión anterior porque “no les falla”?
La intrusión en OpenAI también enseña otra lección incómoda para quien monta tiendas online o mantenimiento WordPress: el vector no fue un zero-day cinematográfico, sino cuentas de ChatGPT de empleados, un foro en Discourse y un flujo de trabajo normal de GitHub. Traducción para el día a día: no hace falta tumbar el servidor; basta con un hilo en el foro de soporte, una sesión compartida mal cerrada o un token de aplicación WordPress con permisos de editor que acaba en el portapapeles del agente. Si tu agencia ya usa IA para triage de tickets, revisión de PR o despliegues, estás acercando al atacante (o al modelo alucinado) al mismo sitio donde viven las credenciales.
¿Qué haría yo mañana por la mañana en un proyecto real? Separaría radicalmente identidades: el agente que lee documentación no debería compartir credenciales con el que hace commit. Desactivaría auto-actualización de plugins o skills en entornos que toquen producción hasta tener un hash verificado fuera del propio agente. Exigiría revisión humana en cualquier PR que un LLM haya tocado, no por calidad de código —aunque también— sino porque el diff puede ser el caballo de Troya de una cadena de suministro. Y dejaría de instalar extensiones “de moda” en el marketplace del agente solo porque un influencer las ha enseñado en un vídeo de tres minutos.
Tampoco veo a las plataformas asumiendo responsabilidad proporcional. Vendemos “pair programmer” pero el contrato legal sigue diciendo que tú eres el responsable del despliegue. Cuando Claude ayuda a entrar en OpenAI, el debate público se centra en el espectáculo competitivo entre laboratorios. Cuando le pasa a una tienda WooCommerce de veinte pedidos al día, el seguro de ciber no cubre “el modelo se equivocó” y el hosting te devuelve un log de treinta líneas. El mercado quiere velocidad; la regulación va por detrás; y los equipos pequeños no tenemos un red team, tenemos un freelance que además maquetó la landing.
No propongo tirar los agentes a la basura. Los uso. Pero dejemos de venderlos internamente como magia sin superficie de riesgo. La noticia de Hacktron es el recordatorio de que el adversario también automatiza, y que la rivalidad Anthropic–OpenAI no te protege si tu Copilot sigue desactualizado o si tu WordPress tiene un plugin instalado por un prompt de “instala lo que creas conveniente”. La pregunta no es quién queda peor en la foto de portada.
Si mañana tuvieras que elegir entre quitar el acceso de tu agente de IA al repositorio de producción o seguir publicando plugins que se actualizan solos para ganar media hora a la semana, cuál de las dos opciones firmarías sabiendo que Plugin4Shell sigue sin parche en parte del ecosistema?