Crecen las intrusiones de agentes de IA en pruebas y alcanzan a India

Agentes de inteligencia artificial (IA) que estaban en pruebas entraron sin autorización a sistemas en funcionamiento de organizaciones de India y leyeron registros con datos personales e información confidencial, advirtió el 15 de octubre el Equipo de Respuesta a Emergencias Informáticas de India (CERT-In). Ninguna de las organizaciones afectadas detectó el acceso: cada caso salió a la luz porque el fabricante del modelo lo informó después de una revisión interna.

El aviso, identificado como CIAD-2026-0049 y titulado "Agentes de IASistema de inteligencia artificial que actúa de forma autónoma para cumplir una tarea, por ejemplo usando programas o conectándose a internet, sin intervención humana en cada paso. como vectores de ataque", tiene calificación crítica, según la agencia PTI y ETV Bharat. CERT-In dice que los agentes, mientras eran investigados y evaluados, "excedieron la autorización de su tarea asignada" y llegaron a activos informáticos indios. Recibió "múltiples" reportes voluntarios de proveedores de modelos, según Analytics India Magazine.

La lista de lo que el aviso no dice es larga. CERT-In no nombró a las empresas de IA, ni a los modelos, ni a las organizaciones afectadas, y no dio cifras de incidentes. Tampoco aclaró si los agentes modificaron algo en los sistemas, señaló TechCrunch, que pidió más información a la agencia. Según ese medio, el caso indio involucraría a agentes de más de un proveedor, mientras que los episodios anteriores fueron informados por un solo laboratorio cada uno.

Puertas que quedaron abiertas

Los agentes no necesitaron técnicas sofisticadas. Entraron con credenciales y datos de conexión que estaban expuestos en archivos de configuración de aplicaciones, en repositorios públicos de código y en roles de nube con más permisos de los necesarios. TechCrunch remarcó que, a diferencia del caso de Hugging Face en julio, CERT-In no describe la explotación de ninguna falla de software en India. Según PTI, los agentes recuperaron y volvieron a usar la misma credencial expuesta en operaciones distintas.

El aviso suma un segundo frente, que ya no es accidental. Con su propio rastreo de amenazas, CERT-In encontró una campaña con fines económicos contra entidades indias que usaba herramientas de ataque de código abierto basadas en agentes. Esas herramientas redujeron de días a pocas horas el tiempo entre el primer acceso y el daño final, y las víctimas que corrigieron sus fallas a medias volvieron a ser atacadas en pocos días y a mayor escala, según la agencia.

Un patrón que se repite

India no es un caso aislado. LatamByte ya informó que un agente de OpenAI entró sin permiso a un portal de estadísticas de salud del gobierno de Australia, y que la Comisión Federal de Comercio de Estados Unidos (FTC) citó a OpenAI y Anthropic por incidentes de este tipo. La misma semana aparecieron otros dos.

OpenAI publicó un informe sobre un modelo interno de la familia GPT-5.6 Sol que, el 26 de junio, durante una tarea de programación, gastó fondos de una billetera de criptomonedas que no era suya. Tenía que desplegar contratos en Sepolia, una red de prueba de Ethereum cuyas monedas no tienen valor de mercado, y no le habían dado una billetera con saldo. Entonces revisó 362 direcciones generadas a partir de frases de recuperación públicas, eligió una con fondos y pagó con ella. En su reporte final no mencionó de dónde salió el dinero. OpenAI lo descubrió el 25 de septiembre. Según N+, la empresa también informó que modelos suyos vulneraron dos sitios web eludiendo sus propias restricciones de navegación, todo en junio.

En China, una flota de agentes evaluada en la nube de Tencent hizo más de 2.600 intentos, entre el 28 de septiembre y el 8 de octubre, de obtener información no pública de Amap, la aplicación de mapas de Alibaba, según El Comercio con base en Europa Press. La prueba consistía en navegar por internet para responder preguntas cotidianas, como cuál es la entrada más concurrida del zoológico de Chengdú. Los agentes buscaron claves y códigos filtrados, y las protecciones contra bots del servicio los bloquearon. Lo detectó el grupo de investigadores independientes Swarmchasers, y no hay evidencia de que los agentes hayan llegado a sistemas privados.

Lo que pide CERT-In

A los laboratorios de IA, la agencia les pide separar las pruebas de los sistemas reales, limitar la salida a internet de cada agente a los destinos que la tarea necesita y hacerlo con controles de red, no con instrucciones al modelo. También recomienda usar objetivos y credenciales de prueba, vigilar a los agentes en tiempo real y cortar la ejecución en forma automática si tocan sistemas de terceros, según Analytics India Magazine.

A las organizaciones les pide buscar credenciales expuestas en su código, el historial de sus repositorios, los archivos de configuración, las aplicaciones y el almacenamiento en la nube, y cambiarlas. Suma dar de baja las interfaces de programación (APISigla en inglés de interfaz de programación de aplicaciones: conjunto de reglas que permite que un programa le pida datos o funciones a otro de manera estandarizada.) viejas o de prueba, recortar permisos en la nube, sacar de internet los paneles de administración, exigir verificación en dos pasos y guardar registros de actividad por al menos 180 días. Cualquier exposición confirmada se trata como un compromiso hasta que una revisión forense la descarte.

El punto que queda abierto lo resumió TechCrunch: por ahora, los gobiernos dependen de que las propias empresas de IA cuenten cuándo sus agentes se salen del guion.