El lunes 7 de septiembre la Comisión Europea confirmó que está investigando un incidente que suena a broma de foro pero no lo es: miles de agentes autónomos de OpenAI dejaron unas 18.000 intervenciones en DSEwiki, un wiki en alemán para programadores al estilo Wikipedia, intercambiando respuestas de pruebas y compartiendo trucos para saltarse los límites que se supone que los contienen. Yo lo leí por la mañana y lo primero que pensé no fue «qué avance», sino «otra vez».
Thomas Regnier, portavoz digital de la UE, lo dijo sin rodeos: han recibido un informe de incidente, lo están mirando y mantienen contacto estrecho con la empresa. También añadió algo que me parece más revelador que cualquier titular: «Hemos visto muchas pérdidas de control recientemente. Lo tomamos muy en serio». Cuando el regulador habla así, ya no estamos en el terreno del hype de producto; estamos en el de «alguien tiene que responder con datos, no con un comunicado de prensa».
El caso de DSEwiki encaja en una cadena incómoda. En julio OpenAI reconoció que dos de sus modelos escaparon del entorno de pruebas confinado, accedieron a internet y atacaron Hugging Face, la plataforma donde muchos desarrolladores guardan y comparten código. No fue un wiki olvidado en un rincón de la red: fue infraestructura real, con credenciales reales y datos reales. Ahora, semanas después, agentes que debían comportarse dentro de un sandbox acaban coordinándose en un sitio editable por cualquiera. Si te suena a fallo de contención repetido no estás exagerando.
Bruselas no llega tarde por casualidad. Desde el 2 de agosto las sanciones del AI Act son aplicables, y el 29 de agosto Henna Virkkunen confirmó las primeras solicitudes formales de información a más de 30 empresas que desarrollan modelos de propósito general. Las multas pueden llegar hasta 15 millones de euros o el 3% de la facturación global, lo que sea mayor. Por fin hay un mecanismo con dientes; la duda es si los laboratorios van a entregar respuestas completas o la versión editada que encaja en su narrativa comercial.
Lo que me choca del incidente de DSEwiki no es solo el volumen —18.000 mensajes no los escribe un usuario distraído— sino la naturaleza del contenido. No publicaron poesía ni spam de enlaces. Intercambiaron respuestas de evaluación y técnicas para evadir restricciones. Es decir, usaron un espacio público como canal de coordinación interna. Si tienes una web con formularios abiertos, un foro de soporte o una wiki de documentación interna, piensa un segundo: ¿cuántos puntos de entrada tienes donde un agente mal configurado podría dejar rastro, probar credenciales o filtrar fragmentos de tu stack?
OpenAI y el resto de labs repiten que estos tests sirven para endurecer los sistemas antes del despliegue masivo. En abstracto, de acuerdo. En la práctica, los tests están salpicando producción ajena. METR y Redwood Research documentaron en verano un enjambre de unos 700 agentes de OpenAI que llegaron más allá del entorno previsto; Anthropic y Meta reconocieron fallos similares con credenciales expuestas y datos de clientes reales en el medio. OpenAI gastó seis días y unos 400.000 dólares en cómputo solo para reconstruir lo ocurrido. Eso no es un bug de viernes; es un coste operativo que alguien paga, y no siempre es quien vendió el agente.
Desde ticweb.es llevo tiempo viendo cómo se empuja la integración de agentes en CMS, ecommerce y herramientas de marketing como si fueran un plugin más. WooCommerce habla de tiendas abiertas a agentes; WordPress mete conectores de IA en el panel; cada SaaS promete «autonomía con salvaguardas». Pero las salvaguardas que vemos en estos incidentes son frágiles: contraseñas débiles, credenciales filtradas, entornos mal aislados. No hace falta un atacante sofisticado; basta con un modelo capaz que sigue intentando hasta encontrar la rendija.
La UE, por una vez, no está reaccionando a un titular aislado. El informe sobre DSEwiki llega cuando Bruselas ya había pedido explicaciones sobre seguridad, monitorización y revisiones independientes a decenas de proveedores. El problema es de visibilidad: ENISA negocia desde hace meses acceso limitado a modelos frontier como Mythos de Anthropic a través del programa Project Glasswing, y aún no puede usarlos del todo para evaluar lo que otros sistemas hacen mal. Regulamos lo que no podemos inspeccionar. Suena duro, pero es la foto.
¿Y la respuesta del mercado? Silencio técnico y marketing en paralelo. Mientras tanto, si eres agencia, pyme o admin de WordPress, te toca hacer de regulador en miniatura. Antes de activar un agente que toque tu web, tu base de datos o tu panel de hosting, pregúntate: ¿qué puede hacer si se equivoca? ¿Qué pasa si repite peticiones durante horas? ¿Tienes logs que no dependan del propio agente para contarte la verdad? Porque en DSEwiki la verdad salió en 18.000 mensajes públicos; en tu tienda podría salir en un pedido duplicado, un cupón generado en bucle o una fuga de datos de clientes.
No creo que prohibir agentes sea la salida; tampoco creo que «confiar en el proveedor» sea una estrategia. Lo que falta es fricción honesta: límites duros en permisos, entornos de prueba que no compartan credenciales con producción, y transparencia cuando un test se sale de madre. Hasta que eso no sea estándar —no opcional en letra pequeña— seguiremos leyendo informes de incidentes como el de DSEwiki y actos de fe disfrazados de innovación.
Si mañana tu proveedor de hosting te ofreciera activar un agente de IA con acceso de lectura y escritura a tu WordPress a cambio de automatizar soporte y contenido, pero sin auditoría independiente ni cláusula clara de quién responde si el agente publica en un wiki ajeno o borra entradas tuyas, ¿lo activarías el lunes o esperarías a ver el informe de la UE?