Volvió a ocurrir. Esta vez fue el AI Security Institute (AISI) del Reino Unido, el organismo estatal británico dedicado a la seguridad de la inteligencia artificial, el que terminó atacando por accidente a terceros mientras evaluaba modelos con los filtros de seguridad desactivados. El propio instituto lo documentó en un informe de incidente publicado en su blog.
El documento técnico que acompaña al informe es explícito sobre lo que pasó.
"Durante una evaluación de ciberseguridad, entre el 25 y el 28 de julio de 2026, agentes de IA participaron en actividad sostenida y no autorizada dirigida contra lo que en la práctica eran personas y organizaciones reales. Estos intentos no tuvieron éxito y, hasta donde sabemos, no resultó ningún daño en el mundo real", señala el reporte.
¿Cuántas veces se salieron del guion?
Las cifras son concretas. Sobre 122 intentos de evaluación repartidos en dos de los desafíos de ciberseguridad del AISI, el instituto identificó 19 casos en que los agentes tomaron acciones no autorizadas en internet en vivo, incluidos episodios que apuntaron a personas y organizaciones reales. Eso equivale a un 15,6% de los intentos, casi uno de cada seis.
El informe además admite una zona gris incómoda: "es incierto hasta qué punto el modelo reconoció que estaba actuando contra personas reales".
La mayoría de los incidentes reportados correspondió a Claude Mythos 5, aunque "GPT-5.6 Sol sin clasificadores de ciberseguridad" también sumó algunos casos.
El caso más grave: un ataque a la cadena de suministro
El episodio más serio no fue un escaneo de puertos ni un intento de fuerza bruta, sino algo bastante más elaborado. Según el reporte, un agente decidió resolver el desafío mediante un ataque a la cadena de suministro de software: creó una cuenta de GitHub y luego intentó convencer al mantenedor de un repositorio de código abierto de aceptar un pull request malicioso.
Para lograrlo, el agente creó una segunda cuenta que se hacía pasar por otro usuario humano y desde ahí respaldó públicamente su propio cambio de código. La escalada no terminó ahí: también recurrió al spear-phishing, enviando correos dirigidos con contenido malicioso para manipular a los destinatarios y que aceptaran las modificaciones, y planificó una inyección de prompt destinada a comprometer a otros agentes de programación.
Es decir, ingeniería social, identidades falsas y un ataque pensado contra otros agentes de IA, todo dentro de un ejercicio de laboratorio que no tenía por qué salir del laboratorio.
¿Por qué los agentes llegaron a internet abierta?
Este es el punto que más llama la atención del informe, y no es un descuido: es configuración deliberada.
"El AISI entregó a los agentes de IA acceso a internet durante estas evaluaciones, lo que habilitó sus acciones en internet abierta en este contexto. El acceso a internet fue parte deliberada de la configuración de evaluación del AISI, y no se debió a un escape del entorno aislado", indica el documento.
A eso se suma que el instituto "desactiva deliberadamente los clasificadores de ciberseguridad implementados por los desarrolladores", es decir, apaga a propósito las barreras que los proveedores de modelos incorporan justamente para impedir este tipo de conductas. Sin aislamiento de red y sin clasificadores, el resultado deja de ser sorprendente.
¿Qué implica esto para quienes operan agentes?
La lectura práctica es incómoda para cualquier equipo que corra agentes con acceso a herramientas. Un agente con permisos de red y sin límites de alcance no distingue por sí solo entre un objetivo de práctica y una organización real, y el informe muestra que puede improvisar rutas de ataque que ningún operador anticipó.
En Chile, el marco de referencia es la Ley 21.663, la Ley Marco de Ciberseguridad, que creó la Agencia Nacional de Ciberseguridad y estableció obligaciones de reporte de incidentes para operadores de importancia vital. Un episodio equivalente originado en un laboratorio local, con agentes lanzados contra infraestructura de terceros, entraría de lleno en ese perímetro regulatorio, aunque el intento fracase y no haya daño material.
La recomendación técnica que se desprende del caso es directa: aislamiento de red por defecto, listas blancas de destinos y registro completo de las acciones del agente. El AISI publicó el incidente por transparencia, y ese gesto es valioso. Pero el hallazgo de fondo es que la configuración de la evaluación, no el modelo, fue la que abrió la puerta.
