Agentes de IA atacaron solos a un regulador nuclear

Entre el 1 y el 4 de julio, un grupo de agentes de inteligencia artificial atacó sistemas del gobierno de Taiwán —incluida su agencia de seguridad nuclear— casi sin intervención humana. No fue un equipo de hackers pegados al teclado durante semanas: fue un software que se organizó solo. La firma israelí de ciberseguridad Dream publicó la investigación; el Financial Times fue el primero en reportarla e identificó a Taiwán, y The Register lo confirmó el 12 de agosto con una fuente cercana al caso.

El detalle es lo que asusta. El framework usó dos agentes de código abierto —Hermes, de Nous Research, y OpenClaw— y desplegó hasta ocho subagentes en doce "oleadas" de ataque, cada uno con sus propios objetivos y técnicas. Comprometió 85 cuentas de usuarios del gobierno, extrajo más de 2.564 registros de personal y mapeó 21 sistemas conectados. En un solo objetivo encontró más de 36 endpoints de API, muchos sin autenticación. Los modelos buscaban por su cuenta vulnerabilidades conocidas (CVE) en bases de datos y en GitHub —lo que las propias herramientas llamaron "ciclos de aprendizaje"— y se autocorregían cuando algo fallaba.

Conviene precisar dos cosas. Dream no atribuye el ataque al gobierno chino ni a un grupo determinado: dice que la documentación operativa "apunta a un operador de habla china". Y ni Hermes ni OpenClaw son malware: son herramientas legítimas y populares —OpenClaw acumuló 340.000 estrellas en GitHub desde su lanzamiento— usadas aquí para otra cosa.

Cómo se saltaron las protecciones: diciendo que estaban autorizados

Este es el dato que ordena todo lo demás. Los frameworks de agentes traen salvaguardas para no prestarse a un ataque. Los operadores las eludieron describiendo la misión como una prueba de penetración autorizada. Eso fue todo.

El problema no es un error de programación que se arregle con un parche. Es de diseño: una salvaguarda que decide preguntando "¿el operador declara estar autorizado?" en vez de "¿este patrón de acciones parece un ataque?" se rompe siempre de la misma manera. Cerrarla exige cambiar la lógica hacia la detección de comportamiento, no publicar una actualización.

Para cualquier empresa que ya tenga agentes corriendo, de ahí sale una tarea concreta: revisar si alguna instancia está configurada con instrucciones que la describan como "auditoría de seguridad", "test de penetración" o "evaluación de vulnerabilidades" sin que exista un encargo formal detrás. Esa frase es hoy un indicador de uso indebido.

Lo que hicieron los agentes, paso a paso

Vale la pena mirar la secuencia, porque no hay ninguna técnica exótica:

• Extrajeron URLs, endpoints, identificadores OAuth y configuración de autenticación desde un solo portal público, y con eso mapearon los 21 sistemas conectados.
• Encontraron tres endpoints ocultos que devolvían una sesión válida sin pedir credenciales, y un sistema que exponía su base completa de usuarios sin autenticación alguna.
• Con los nombres de usuario obtenidos ahí, probaron contraseñas predecibles basadas en el número de identificación de cada empleado, y resolvieron los CAPTCHAs con 100% de acierto. Cayeron 85 cuentas; 84 abrieron el sistema interno.
• Se llevaron, además de los registros de personal, siete secretos de cliente SSO, seis credenciales de bases de datos (MSSQL, Oracle y Sybase) y los rangos de direcciones internas.

Nada de eso requiere un exploit inédito. Requiere paciencia para revisar miles de combinaciones — exactamente el trabajo que un agente hace sin cansarse.

Un detalle casi irónico: todo esto se supo porque los operadores dejaron expuesto en internet un archivo de 160 MB con 1.395 documentos que registraban su propia operación.

Por qué le importa a quien dirige una empresa

Aunque no tenga nada que ver con energía nuclear: lo que cambió es el costo del ataque dirigido.

Hasta ahora, un ataque sofisticado y personalizado requería personas caras, tiempo y coordinación. Eso ponía un techo natural a cuántas empresas podían ser blanco a la vez. Ese techo se está cayendo. Un puñado de agentes hace el reconocimiento, encuentra la puerta y entra, a una velocidad y escala que ningún equipo humano iguala.

Y el segundo dato incómodo: la operación empezó en el gobierno y se expandió hacia sus proveedores de TI, el sistema de correo estatal, la agencia nuclear y más de siete empresas del sector energético, escaneándolos todos en paralelo. Tu empresa no necesita ser el blanco importante para ser la puerta de entrada al que sí lo es. Si le vendes o le prestas servicios a alguien grande, eres parte de su superficie de ataque.

Dos términos, para dimensionarlo

Un agente de IA no es un chatbot que responde. Es un modelo al que se le da un objetivo y herramientas, y decide solo los pasos para llegar. Aquí eso significó investigar, priorizar blancos y ejecutar sin que un humano aprobara cada movimiento.

Y los endpoints sin autenticación son, literalmente, puertas de la empresa que quedaron sin llave: conexiones técnicas que cualquiera que sepa la dirección puede usar. Antes había que buscarlas a mano; ahora un agente las lista en minutos.

La pregunta de esta semana

No hay que entrar en pánico, pero sí conviene hacerse una pregunta concreta: si un atacante automatizado revisara tu empresa hoy, ¿cuántas de esas puertas encontraría abiertas?

La respuesta rara vez es cero, y ese es exactamente el trabajo que la IA acaba de abaratar. La barrera dejó de ser técnica: los frameworks existen, los modelos existen y las técnicas quedaron documentadas en el archivo que los propios atacantes dejaron a la vista. Lo único que falta, del otro lado, es la intención.