Un ataque autónomo con IA golpeó al gobierno de Taiwán

Atacantes con presuntos vínculos con China usaron herramientas de IA disponibles públicamente para llevar a cabo lo que los investigadores describen como el primer ataque cibernético autónomo de extremo a extremo observado contra un blanco gubernamental, comprometiendo al menos 85 cuentas de usuario y sustrayendo más de 2.500 registros de personal de sistemas del gobierno taiwanés. La información proviene de un reporte del Financial Times del 12 de agosto que cita a investigadores de la empresa israelí de ciberseguridad Dream.

Según los investigadores, los atacantes ensamblaron una plataforma autónoma de intrusión usando marcos de agentes de IA de código abierto, lo que permitió a múltiples agentes mapear redes, investigar vulnerabilidades, intentar intrusiones y adaptar tácticas de forma simultánea cuando una ruta de ataque fallaba.

Cuatro días, ocho agentes en paralelo

La campaña habría corrido durante cuatro días a comienzos de julio y por momentos desplegó hasta ocho agentes autónomos en paralelo. Dream señaló que el sistema mapeó 21 sistemas gubernamentales antes de comprometer cuentas de usuario y extraer información de personal. Los atacantes expandieron después su actividad hacia la agencia de seguridad nuclear de Taiwán, al menos siete empresas de energía, proveedores del Estado y otros sistemas públicos.

El promedio resultante, cerca de 29 registros por cuenta comprometida, sugiere una extracción metódica más que un volcado masivo de una sola base de datos.

¿Con qué herramientas se construyó?

Dream indicó que encontró la evidencia dentro de un archivo en línea de 160 megabytes que apareció durante su rastreo más amplio de actores de amenaza. El repositorio contenía 1.395 archivos que muestran que la herramienta fue construida sobre dos sistemas de agentes de IA de código abierto, Hermes y OpenClaw, ambos descargables de forma gratuita y diseñados para que modelos de lenguaje ejecuten tareas de varios pasos por su cuenta.

Los investigadores no pudieron determinar qué modelo subyacente alimentaba a los agentes, pero los datos mostrarían que las salvaguardas del modelo fueron eludidas presentando la intrusión como una prueba de penetración autorizada en lugar de un ataque real.

Lo particularmente preocupante es que el conjunto de herramientas se compuso de sistemas tan fácilmente accesibles, ninguno de los cuales fue diseñado con fines ofensivos. Los operadores parecen haber ensamblado una herramienta autónoma capaz a partir de componentes que cualquier desarrollador puede descargar y ejecutar.

¿Qué hacía distinto a este ataque?

Lo que los investigadores describen como la característica más llamativa de la herramienta fue su capacidad de idear ataques de forma continua por su cuenta, en lugar de seguir una ruta preprogramada. La plataforma evaluaba permanentemente la evidencia disponible, ordenaba por prioridad las rutas de ataque posibles y las reordenaba a medida que cambiaban las circunstancias. Cuando una técnica fallaba, la herramienta encargaba a otro agente buscar información en internet y desarrollar un enfoque alternativo.

Dream no atribuyó la campaña a un grupo o país específico. Sin embargo, los investigadores indicaron que las comunicaciones internas de los operadores estaban escritas en chino simplificado, lo que sugiere una alta probabilidad de conexión con China. La compañía también declinó nombrar a la víctima por política interna, aunque confirmó haber notificado a un país de la región Asia-Pacífico. Los datos extraídos del blanco estaban en chino tradicional, la escritura usada en sitios gubernamentales de Taiwán, Hong Kong y Macao. El Financial Times señaló que una persona con conocimiento del incidente identificó a Taiwán como el objetivo.

Una preocupación que ya venía escalando

El incidente subraya la inquietud creciente en las industrias de ciberseguridad e IA sobre lo que los modelos más recientes pueden hacer de forma autónoma. Anthropic, OpenAI y Meta han reportado casos de modelos nuevos lanzando ataques inesperados durante pruebas internas, con el ejemplo conocido del agente de OpenAI que atacó Hugging Face. En otro caso, OpenClaw borró la bandeja de entrada del director de Alineamiento de IA de Meta pese a órdenes repetidas de detenerse.

Los investigadores advierten que los agentes de IA están haciendo cada vez más fácil automatizar porciones de ataques que antes requerían operadores humanos calificados. Amir Becker, director de estrategia de Dream, advirtió que la llegada de este tipo de herramientas implica que todo gobierno debería asumir desde ahora que está bajo asalto automatizado permanente.

El riesgo es especialmente marcado para Taiwán, que ya enfrentaba un volumen abrumador de ataques antes de que los agentes entraran en escena. La Oficina de Seguridad Nacional de la isla reportó en enero que enfrentó un promedio de 2,6 millones de ataques chinos por día durante 2025, un 6% más que el año anterior. Beijing reclama a Taiwán como parte de su territorio y ha amenazado con usar la fuerza si lo estima necesario. Según el Financial Times, el Ministerio de Asuntos Digitales de Taiwán declinó comentar sobre el incidente específico citando confidencialidad, aunque un vocero reconoció que la integración de IA transformó la naturaleza de los incidentes de seguridad.

La lectura para la región

El dato que traslada este caso a cualquier organismo público chileno o latinoamericano no es la sofisticación sino su ausencia. No hubo desarrollo de una herramienta ofensiva a medida: hubo ensamblaje de dos proyectos abiertos, más una instrucción que enmarcaba la intrusión como auditoría autorizada. Eso baja la barrera de entrada desde un equipo con operadores expertos a un solo operador con criterio y tiempo. Los servicios públicos de la región, que en general dimensionan sus equipos de respuesta asumiendo atacantes humanos trabajando en horario, quedan expuestos a un adversario que no duerme y que reintenta por ocho vías a la vez.