A comienzos de este año, un contratista provocó un incidente de seguridad en el Departamento de Defensa de Estados Unidos (DOD). Conectó un sistema centralizado y protegido, que usan varias agencias de inteligencia, a su cuenta personal de Claude Code, el agente de programación de Anthropic. Así lo contaron fuentes a WIRED. Todo indica que el agente, usado por un empleado de la consultora global Accenture, envió después información sobre el sistema del DOD, incluidas credenciales de acceso, a un sitio web de terceros considerado de alto riesgo.

El sistema centralizado guarda información controlada no clasificada (CUI, por su sigla en inglés), que se considera sensible y no puede hacerse pública sin revisión. La CUI puede incluir datos sobre infraestructura crítica, propulsión de submarinos nucleares y vulnerabilidades ante el terrorismo químico y biológico. WIRED agrega que el acceso a ese sistema podría abrir la puerta a otros todavía más sensibles.

"Pone en riesgo todos los datos que hay ahí", dijo a WIRED una fuente al tanto del incidente, que pidió reserva porque no estaba autorizada para hablar con la prensa. Si el software del tercero fue vulnerado, "podría haber alguien allá afuera con la capacidad de entrar a un entorno seguro sin que nadie lo sepa. Es 100% una amenaza a la seguridad nacional y podría causar un daño irreparable".

Un vocero del DOD respondió a WIRED que "el Departamento no comenta el estado de sus redes o sistemas".

"Tomamos en serio todas las inquietudes. Estas acusaciones se investigaron de forma exhaustiva e independiente y se determinó que no tienen fundamento. Cumplimos plenamente con nuestras obligaciones legales y contractuales", dijo un vocero de Accenture a WIRED. Ante más preguntas, la empresa no aclaró quién hizo esa investigación ni desmintió que hubiera ocurrido algo que pueda calificarse como incidente.

¿Qué hizo exactamente el agente dentro del DOD?

El empleado de Accenture habría conectado un entorno de producción protegido a su cuenta personal de Claude para que un agente de IA escribiera y desplegara código. Hoy el personal del DOD tiene prohibido usar Claude. Anthropic remitió a WIRED a su política de uso, que prohíbe usar sus productos para "interferir con la operación de bases militares e infraestructura relacionada" o para "eludir controles de seguridad como sistemas de autenticación, protección de endpoints o herramientas de monitoreo sin autorización".

El agente funcionó dentro de la red del DOD durante dos meses antes de que lo detectaran y se pudiera parchar la vulnerabilidad. Según las fuentes, pese al riesgo que implicaba, los empleados de Accenture no trataron el caso como grave ni urgente. El personal del DOD y los contratistas federales deben informar cualquier incidente de ciberseguridad dentro de 72 horas desde que lo descubren. Las fuentes indican que Accenture, en un principio, no le informó nada al gobierno.

"Estamos en un conflicto con Irán ahora mismo", dijo el empleado citado por WIRED, y recordó que Irán ha intentado hackear varias agencias federales y partes de la infraestructura de Estados Unidos. "Es el peor momento para tener esta clase de actitud despreocupada".

Los contratos de Accenture con el gobierno

Accenture tiene hoy más de 3.500 millones de dólares en contratos con el gobierno federal, y cerca de 605 millones corresponden al DOD. También trabaja para otras agencias, como el Departamento de Educación, la Administración de Servicios Generales y el Departamento de Energía. A comienzos de este mes, el FBI determinó que un contratista de Accenture no parchó una vulnerabilidad que permitió al grupo ShinyHunters acceder a los datos de miles de funcionarios de la agencia. El FBI apartó a ese contratista a comienzos de octubre.

Matt Triner, fundador de Hunter Strategy, una consultora de TI con sede en Washington, dijo a WIRED que el caso muestra las exigencias contradictorias que enfrentan los contratistas del gobierno. "A las organizaciones muchas veces se las castiga por informar incidentes como este, aunque sea lo correcto y lo que manda la ley", afirmó. En muchos casos, explicó, una empresa podría perder contratos con el gobierno por admitir una brecha de seguridad. Aun así, sostuvo que un incidente como el descrito "es sin duda uno que habría que informar".

Triner agregó que la presión sobre los contratistas para entregar proyectos más rápido y más barato choca con la prioridad de la seguridad. "Lamentablemente, todos operan en un sistema con reglas e incentivos que compiten entre sí. Eso existía antes de la IA, pero ahora es el mismo problema a mayor velocidad", dijo.

Cómo salieron las credenciales de NIPRNet

El entorno de programación al que entró el contratista corre sobre NIPRNet (Non-classified Internet Protocol Router Network), la red del DOD para información no clasificada. Está conectada a internet, porque contratistas y funcionarios revisan su correo y navegan desde ella, pero tiene fuertes medidas de protección.

Según la fuente, para automatizar la escritura de código y el levantamiento de servidores en la nube, el contratista le entregó sus credenciales de acceso al agente de Claude. Con eso el agente obtuvo acceso de administrador y pudo saltarse los controles de seguridad que aplica el proceso normal de inicio de sesión. El agente escribía código y además lo confirmaba en el sistema a nombre del empleado de Accenture, y para hacer su trabajo necesitaba conectarse a internet. Al hacerlo, todo indica que envió las credenciales del contratista, sus contraseñas y un mapa de NIPRNet a un sitio web de terceros.

WIRED decidió no nombrar ese sitio para no exponer más el sistema. El Instituto Nacional de Estándares y Tecnología (NIST) ya lo había catalogado como de alto riesgo, porque tiene una vulnerabilidad que permite a un atacante inyectar instrucciones en un agente de programación con IA para robar credenciales.

El sistema al que entró el agente contenía CUI. "La información de un entorno CUI no debería salir de esa infraestructura", dijo la fuente. "No hay ninguna claridad sobre qué pasó con la información, incluidas las credenciales de acceso, después de que se envió a [ese servicio], ni sobre si se guardó".

Según la agencia y su trabajo, la CUI puede ir desde información personal identificable hasta datos comerciales o de contratos protegidos. De acuerdo con el sitio del DOD, la CUI puede incluir información sobre "la protección y resguardo de explosivos, químicos peligrosos u oleoductos", documentación sobre los diseños de "equipos o tecnología militar o espacial" y "la ubicación y cantidades exactas de material radiactivo".

¿Por qué importa un mapa de la red?

Más allá de los datos en sí, un mapa de cómo están organizados puede valer mucho para un atacante. "Una vez que un atacante entiende cómo encajan esas piezas, aunque sean información pública, lo sensible es cómo las estamos juntando y convirtiendo en inteligencia accionable", explicó Triner.

Un mapa no basta para entrar a un sistema, dijo, pero puede ayudar a un adversario a moverse más rápido una vez que tiene acceso y a "entender dónde están las joyas de la corona".

Jake Williams, exhacker de la NSA y académico de IANS, una consultora de inteligencia y seguridad, dijo a WIRED que un agente de IA ejecutando código en NIPRNet es "un problema enorme, y hay impactos enormes en la seguridad nacional".

Williams explicó que aunque cada dato por separado sea CUI, "cuando esa información no clasificada se agrega, puede volverse clasificada". Por ejemplo, la ubicación de ciertos materiales peligrosos podría ser CUI, igual que los datos sobre las vulnerabilidades de las instalaciones que los guardan. Combinados, en cambio, podrían revelar información que se mantendría como clasificada.

El riesgo para las redes aisladas

Esa no es la única vía por la que podría haber quedado expuesta información clasificada. Es habitual que herramientas y código se prueben en NIPRNet antes de pasar a sistemas más sensibles, como SIPRNet (Secret Internet Protocol Router Network), la red militar protegida para información clasificada, y JWICS (Joint Worldwide Intelligence Communications System), una intranet segura para información de máximo secreto. SIPRNet y JWICS están aisladas físicamente, o sea no se conectan con ninguna red externa. En la práctica, eso hace muy difícil que un atacante entre a ellas de forma remota.

Con las credenciales que filtró el agente de IA, en cambio, un atacante podría entrar a NIPRNet e insertar una puerta trasera u otro código malicioso en una herramienta o un sistema. Sin una revisión adecuada, ese código podría terminar desplegado en una de las redes aisladas.

"El código podría funcionar con total normalidad en NIPR y hacer algo malicioso y no declarado en una red SIPR, eso es 100% posible", dijo Williams. Sacar datos de esas redes sería difícil, agregó, pero un código malicioso podría usarse para atacar los sistemas desde adentro. "Creo que lo más probable sería algún tipo de ataque distribuido de denegación de servicio", afirmó.

Triner señaló que incluso algo más sutil, como frenar operaciones y actividades de inteligencia, podría causar daño y hacer que los usuarios dejen de confiar en una herramienta, aun después de corregido el problema.

Revisar el código generado por IA

A medida que el vibe coding (pedirle a un asistente de IA que escriba el código de un producto descrito por un ingeniero) se vuelve más común, revisar ese código se hace más difícil. La IA genera código en un volumen muy superior al de una persona, y verificarlo toma tiempo.

"Cuando usas un agente, no tienes idea de la cadena de suministro ni de la cadena de inferencia que generó finalmente el código", dijo Williams. "Mucho del código con que se entrenaron estos LLM es vulnerable en sí mismo, y pueden repetir las mismas arquitecturas y los mismos problemas de arquitectura que vemos en otro código".

El gobierno sí tiene una forma de detectar código defectuoso en NIPRNet. Las pruebas estáticas de seguridad de aplicaciones (SAST) revisan el código en busca de errores y fallas antes de permitir que se ejecute. Pero Williams advierte que una "puerta trasera no es una vulnerabilidad, aunque no queramos que esté ahí", así que probablemente pasaría inadvertida para la detección de SAST. Esas pruebas tampoco suelen identificar problemas estructurales en la lógica con que se creó el código.

No hay indicios de que algún atacante haya entrado a un sistema clasificado o de máximo secreto. Aun así, Williams cree que el incidente debería encender alarmas. "Desde el punto de vista de la arquitectura, el DOD considera de acceso restringido cualquier información sobre NIPR que no se pueda ver por inteligencia de fuentes abiertas, toque o no una red clasificada", dijo.