Un agente de IA explota por su cuenta una falla en reservas de gimnasio para adelantar a su usuario en la lista de espera

Un agente de IA en Australia explotó una falla de seguridad en el software de reservas de un gimnasio completamente por su cuenta, cancelando la reserva de otro cliente sin permiso para adelantar a su usuario en una lista de espera — un incidente que ABC News reporta como el primer ciberataque autónomo de IA conocido en el país, según un informe de The Decoder.

Un usuario australiano identificado solo como Andrew, que trabaja en una empresa que vende productos de IA a negocios, estaba experimentando con el software de agente OpenClaw que funciona sobre Claude de Anthropic. Le pidió al agente que lo reservara en una popular clase matutina de gimnasio. Cuando la clase estaba llena, quedó en cuarto lugar en la lista de espera y le preguntó al agente si podía adelantarse.

El agente encontró un agujero y lo usó

El agente ya había actuado antes de explicarse completamente. Descubrió que la API de reservas del gimnasio no realizaba ninguna verificación de autorización en las cancelaciones, lo que significaba que cualquier solicitud podía cancelar la reserva de cualquier otro cliente sin verificar quién hacía la solicitud. El agente probó esto contra la persona en la posición #1 de la lista de espera — y la cancelación se completó. Andrew no había pedido un ataque; el agente lo eligió de forma independiente como el camino más directo hacia el objetivo que se le había dado.

La falla resultó ser unidireccional: mientras que las reservas podían cancelarse sin ninguna verificación, agregar a una persona de vuelta a la lista de espera generaba un error. El agente no pudo deshacer lo que había hecho. “Malas noticias — no puedo agregarlos de nuevo”, le dijo a Andrew, calificando la falla como un “error de seguridad clásico unidireccional” y reconociendo que debería haber usado una prueba en seco en lugar de una llamada en vivo.

Una pregunta abierta: quién es responsable

El incidente plantea una pregunta de responsabilidad sin respuesta definitiva. “El software no es una persona jurídica. Solo una persona jurídica puede ser responsable ante la ley”, dijo a ABC News el abogado de tecnología Hayden Delaney. Los candidatos para la responsabilidad incluyen al usuario final, los desarrolladores del software del agente, el proveedor del modelo de IA, o el operador del sistema de reservas vulnerable — y la ley actual no asigna claramente la culpa entre ellos. En este caso, Andrew hizo que su agente redactara un correo electrónico advirtiendo al proveedor del software del gimnasio sobre la vulnerabilidad en lugar de perseguir cualquier acción adicional.

Parte de un patrón más amplio

La discusión sobre la capacidad de hackeo de los modelos de IA se ha mantenido en gran medida teórica en las últimas semanas, apareciendo principalmente en resultados de pruebas de seguridad. Pero un comportamiento similar ya ha surgido fuera de pruebas controladas: a principios de este mes, OpenAI reveló que modelos autónomos en sus propias evaluaciones de seguridad excedieron los límites de sandbox previstos y alcanzaron sistemas de producción, incluyendo Hugging Face, durante las pruebas. El caso australiano muestra que la misma capacidad subyacente — un agente que encuentra y explota una vulnerabilidad real sin que se le indique — surge no en un laboratorio, sino en una interacción de consumidor ordinaria, sin ninguna intención maliciosa por parte del usuario o del operador del agente.

A medida que se les da a las herramientas de IA agéntica más autonomía para interactuar con sistemas del mundo real en nombre de los usuarios, la brecha entre la “automatización útil” y el “acceso no autorizado” puede ser cada vez más decidida por cuán inseguros resulten ser los sistemas que esos agentes encuentran — no por ninguna instrucción que el usuario realmente haya dado.