Esta semana Taiwán ha confirmado lo que varios medios llevaban días insinuando: en los primeros cuatro días de julio, un grupo de atacantes montó una operación casi autónoma contra organismos públicos taiwaneses usando agentes de IA de código abierto. Ocho procesos en paralelo, doce oleadas de ataque, 85 cuentas comprometidas y más de 2.500 registros de personal extraídos. Y lo peor no es el número: es que los agentes cambiaron de táctica solos cuando encontraban un muro, ampliaron objetivos hacia la agencia de seguridad nuclear y al menos siete compañías energéticas, y lo hicieron con herramientas que cualquiera puede descargar de GitHub.
Yo llevo meses viendo cómo el sector web celebra los agentes de IA como la siguiente gran productividad: automatiza el despliegue, revisa logs, gestiona tickets, conecta APIs. Hermes y OpenClaw — los frameworks que usaron los atacantes según el informe de Dream Security — nacieron precisamente para eso: dar a un modelo de lenguaje manos y ojos en un entorno digital. La diferencia entre tu agente que reorganiza el CSS de un cliente y el que mapea 21 sistemas gubernamentales es, básicamente, el prompt inicial y los permisos que le des.
El Ministerio de Asuntos Digitales de Taiwán lo ha reconocido con frialdad: ataque de origen extranjero, enfoque híbrido que combina operación manual con agentes como OpenClaw. Dream, la empresa israelí que recuperó un archivo de 160 MB con 1.395 documentos de la operación, habla de «ciclos de aprendizaje» autónomos donde los agentes buscaban CVEs, repositorios de GitHub y técnicas aplicables a la infraestructura objetivo. Cuando un método fallaba, lanzaban otro agente con otro enfoque. Sin esperar a que un humano decidiera el siguiente paso.
¿Suena a ciencia ficción? Pues The Register y CyberScoop lo han cubierto como el primer caso documentado de un ataque «casi autónomo» contra un gobierno. Y aquí viene lo incómodo: los atacantes no programaron malware a medida. Ensamblaron el framework con piezas públicas, lo enmarcaron como un pentest autorizado para saltarse las barreras de seguridad de las propias herramientas, y a partir de ahí dejaron que la maquinaria trabajara. Cuatro días. Sin necesidad de un equipo de veinte hackers en una sala oscura.
En mi experiencia montando y manteniendo infra web, lo que más me preocupa no es que la IA pueda escribir un exploit — eso ya lo sabíamos — sino la escala y la persistencia. Un agente no se cansa, no pierde el hilo a las tres de la mañana, y puede paralelizar tareas que a un equipo humano le llevarían semanas. Los de Dream encontraron hasta ocho sub-agentes simultáneos, cada uno con un objetivo distinto: credenciales, APIs expuestas, cadena de suministro tecnológico del gobierno. Cuando uno encontraba una puerta entreabierta — un SSO mal configurado, una API sin autenticar — los demás pivotaban hacia ahí sin que nadie les dijera explícitamente que lo hicieran.
Y ahora la parte que debería interesarte si tienes clientes con WordPress, WooCommerce o cualquier SaaS con APIs: los agentes no se quedaron en el organismo principal. Expandieron la operación hacia proveedores IT del gobierno, correo electrónico estatal y empresas energéticas. Es decir, la cadena de suministro digital. Si tu hosting, tu plugin de facturación o tu integración con un CRM tiene credenciales débiles, un JWT mal validado o un panel de admin expuesto, no necesitas ser el objetivo principal para acabar en el radar de un agente que está escaneando todo lo que huela a infraestructura relacionada.
La industria de la IA generativa lleva meses vendiendo agentes como la solución a todo. OpenAI acelera GPT-5.6 Sol para respuestas en tiempo real, Google lanza Gemini 3.7 Flash optimizado para coding y agentes, y en paralelo tenemos un ataque real donde esas mismas capacidades — razonamiento multi-paso, uso de herramientas, coordinación entre procesos — se han convertido en un vector ofensivo operativo. Nadie en los keynotes de Silicon Valley te enseña el slide de «cómo tus agentes de productividad comparten arquitectura con un framework que acaba de hackear una agencia nuclear».
Lo del código abierto tampoco es excusa. Hermes y OpenClaw son proyectos legítimos con miles de estrellas en GitHub, pensados para automatizar tareas cotidianas. Que sean abiertos no los hace malos; lo que demuestra es que la barrera de entrada para montar operaciones sofisticadas acaba de caer en picado. Antes necesitabas conocimiento profundo de explotación, desarrollo de malware y coordinación de equipos. Ahora necesitas saber ensamblar agentes, redactar un prompt que suene a pentest autorizado y tener acceso a modelos potentes. El resto lo hace el framework.
¿Y la defensa? Dream advierte que los gobiernos no están preparados para este tipo de amenaza y que los productos de ciberseguridad tienen que evolucionar hacia enfoques «nativos de IA», anticipando rutas de ataque probables antes de que ocurran. Suena bien en un informe, pero en el día a día de una pyme con un VPS compartido y un WordPress sin actualizar desde hace seis meses, eso se traduce en otra capa de servicio que te van a intentar vender. Mientras tanto, lo básico sigue sin hacerse: contraseñas robustas, APIs autenticadas, paneles de admin no expuestos, logs que alguien lea de verdad.
Tampoco me creo la narrativa de que «la IA atacó sola». Alguien montó la operación, marcó objetivos y configuró el framework. Lo nuevo es el grado de autonomía una vez en marcha: investigar, probar, pivotar, exfiltrar, todo en paralelo y a velocidad de máquina. Eso cambia el cálculo de riesgo para cualquiera que gestione infraestructura web, no solo para ministerios taiwaneses.
Si gestionas webs de clientes y estás probando agentes de IA para automatizar despliegues, monitorización o soporte, piénsalo: ¿cuántos permisos les has dado? ¿Pueden acceder a credenciales de producción? ¿Tus APIs internas distinguen entre un agente legítimo y uno que alguien ha montado con las mismas herramientas open source que usaron en Taiwán? Porque la pregunta ya no es si esto va a pasar en entornos más pequeños, sino cuándo alguien conectará un agente a un objetivo con superficie de ataque real — y tu hosting compartido con veinte WordPress desactualizados encaja en esa definición mejor de lo que te gustaría admitir.
Si mañana tu proveedor de hosting te ofreciera integrar agentes de IA para gestionar tu servidor a cambio de darles acceso SSH completo y credenciales de todas las bases de datos, pero sin auditoría de qué hace el agente ni registro de sus acciones, lo aceptarías para ahorrarte dos horas semanales de mantenimiento?
Fuentes
- La Razón: Ocho IA de código abierto atacaron Taiwán sin intervención humana
- The Register: Near-autonomous AI agents attack Taiwan’s nuclear safety agency
- Dream Security: Inside a Multi-Agent AI Framework Used to Compromise Government Entities in Asia
- CyberScoop: Researchers observe first near-autonomous AI attack on government target in Taiwan