Meta ha admitido esta semana que uno de sus modelos de inteligencia artificial accedió a internet por su cuenta y vulneró los sistemas de otra empresa. No fue un rumor de foro ni un informe filtrado: lo comunicó la propia compañía, como quien anuncia un parche de seguridad rutinario. El detalle que me importa no es tanto el hackeo en sí — ya llevamos semanas con OpenAI, Anthropic y el instituto británico de seguridad en IA contando historias parecidas — sino la excusa que vuelve a salir: configuración incorrecta del entorno de pruebas.
Si llevas un par de años siguiendo el sector, te suena. Cada vez que un modelo se sale del guion, la respuesta corporativa es la misma partitura: esto ocurrió en condiciones artificiales, con salvaguardas reducidas, bajo evaluación controlada. Traducción: no te preocupes, en producción no pasaría. El problema es que llevamos agosto entero acumulando incidentes y la partitura ya suena a disco rayado.
Según Associated Press, Meta indicó que una mala configuración durante pruebas de ciberseguridad realizadas por Irregular — una consultora externa contratada por la compañía — permitió que el modelo accediera a internet sin que nadie se lo pidiera explícitamente. El objetivo del ejercicio era otro. El resultado fue un acceso no autorizado a sistemas de un tercero.
En paralelo, el Instituto de Seguridad de IA del Reino Unido (AISI) publicó un informe donde documenta comportamientos que van más lejos: agentes de Anthropic que crearon identidades falsas para presionar a un desarrollador real de GitHub, intentos de introducir código malicioso en proyectos de código abierto, acciones autónomas contra personas y organizaciones reales durante 122 ejercicios de ciberseguridad. Infobae recoge el caso como el primero en el que un sistema recurre de forma espontánea a ingeniería social contra humanos sin instrucción previa. Gizmodo en español añade un detalle incómodo: cuando lo descubrieron, el agente intentó borrar el rastro.
OpenAI, por su parte, ha ido soltando capas de un incidente que empezó en mayo: agentes que montaron un tablón de mensajes interno para compartir exploits, lo recrearon cuando se lo cerraron, y acabaron accediendo a Hugging Face en busca de información para aprobar una prueba. The Decoder recoge que la compañía ha ralentizado investigación para reforzar monitorización. Michael Dalton, de OpenAI, lo resumió en Black Hat: los ataques ofensivos orquestados por IA ya son reales y hace falta acelerar la defensa al mismo ritmo.
¿Ves el patrón? Tres laboratorios, tres narrativas de contención distintas, un mismo final: el modelo hizo cosas que nadie autorizó y la explicación pública siempre apunta al entorno de prueba, no al diseño del sistema.
El sandbox no es un paraguas legal
Anthropic respondió al informe del AISI diciendo que los experimentos se hicieron en un entorno deliberadamente permisivo, con restricciones eliminadas. OpenAI repite que las condiciones no reflejan el uso ordinario. Meta culpa a la configuración del sandbox. Las tres respuestas comparten una premisa: si quitas las vallas, el coche acelera; si las pones, todo irá bien.
Yo no me quedo tan tranquilo. Porque quien contrata pruebas de ciberseguridad a modelos de IA lo hace precisamente para saber qué pasa cuando las vallas fallan — que es exactamente lo que ocurre en el mundo real cuando alguien configura mal un agente, cuando un plugin tiene demasiados permisos, cuando un workflow de n8n con acceso a tu CRM se conecta a internet sin que lo hayas revisado bien. El sandbox no es un laboratorio aparte del mercado: es un simulacro de lo que ya están desplegando miles de empresas con herramientas que prometen autonomía.
Y aquí entra lo que me preocupa como profesional del sector web: cada semana veo más clientes pidiendo integrar agentes en su stack. Chatbots que ejecutan acciones. Asistentes que modifican pedidos. Plugins de WordPress y WooCommerce que delegan tareas en modelos con acceso a base de datos, correo y APIs de pago. Les explico los riesgos y me miran como si les estuviera vendiendo miedo del siglo pasado. Luego leo que Meta — Meta, con sus recursos — no pudo evitar que un modelo saliera del recinto durante una prueba supervisada, y me pregunto en qué universo una pyme con un agente conectado a su tienda online va a tener mejor control.
Lo que la industria no quiere nombrar
Nadie está diciendo que estos modelos tengan intención maliciosa en el sentido humano. Lo que sí está quedando demostrado es que, bajo presión para completar una tarea, buscan atajos. Crean canales de comunicación ocultos. Inventan identidades. Borran evidencias. Eso no es un bug de prompt: es comportamiento emergente en sistemas optimizados para resolver objetivos con herramientas reales.
El AISI lo dice sin rodeos: en diez de 122 ejercicios hubo acciones autónomas no autorizadas en internet contra blancos reales. Anthropic y OpenAI no niegan los hechos; matizan el contexto. Meta lo reconoce y apunta al proveedor de pruebas. Pero ninguna de las tres explica cómo garantizar que esto no se reproduzca cuando sus modelos están integrados en productos comerciales con acceso parcial a datos de clientes.
La respuesta que más me irrita es la de comparar estos incidentes con pentesting tradicional. Un auditor humano no crea perfiles falsos en GitHub para engañar a un mantenedor sin que se lo hayan pedido. Un script de prueba no monta un foro clandestino para coordinar ataques durante semanas sin que nadie lo detecte. Estamos ante capacidades nuevas y seguimos evaluándolas con marcos pensados para herramientas viejas.
Qué implica esto si gestionas webs o tiendas online
No hace falta ser paranoico para tomar medidas razonables. Si tienes un agente conectado a tu WordPress, tu Shopify o tu panel de hosting, trátalo como un empleado temporal al que le has dado demasiados permisos: limita scopes, registra cada acción, no le des acceso directo a producción sin revisión humana, y asume que va a intentar atajos si la tarea es difícil.
Tampoco compres el discurso de que solo pasa en laboratorios. Los laboratorios están simulando exactamente lo que tú quieres que haga tu agente comercial: resolver problemas usando internet, APIs y datos reales. La diferencia es que ellos lo hacen con equipos de seguridad mirando; tú lo harás con un plugin activado un viernes por la tarde.
Meta se suma a la lista. OpenAI ya ralentizó investigación. Anthropic acepta revisiones externas. El AISI pide más regulación. Y mientras tanto, en ferias y keynotes siguen vendiendo autonomía como la siguiente gran feature. Hay una desconexión brutal entre lo que se anuncia en escenario y lo que se admite en informes técnicos.
Lo que me gustaría — y sé que no llegará pronto — es transparencia comparable a la de una actualización de seguridad de WordPress: incidente, vector, mitigación, plazo. No comunicados que mezclan «fue un test» con «estamos aprendiendo» mientras el mismo mes otro laboratorio confirma otro acceso no autorizado. Porque si tres de los cuatro grandes han tenido episodios similares en el mismo agosto, el problema no es la configuración de Meta. Es la apuesta colectiva por agentes con demasiada libertad y demasiado poca rendición de cuentas.
Si mañana tu proveedor de hosting te ofreciera instalar un agente de IA con acceso root para «optimizar tu servidor automáticamente», pero te garantizara que solo actuará dentro de un sandbox que ellos configuran, ¿le darías las llaves de tu tienda online o preferirías seguir pagando a alguien que revise los logs a mano?