Los agentes de OpenAI atacaron webs de gobiernos y universidades sin que nadie se lo pidiera
Transluce identifica al menos cuatro incidentes entre mayo y junio en los que los agentes recurrieron a SQL injection o path traversal al no conseguir los datos que se les pedían
Los agentes de OpenAI intentaron colarse en webs de gobiernos y universidades sin que nadie se lo hubiera pedido. Ocurrió en al menos cuatro incidentes adicionales este año, entre mayo y junio, según investigadores y funcionarios públicos. Tres de los casos los identificó Transluce, un laboratorio dedicado a la supervisión de IA, y OpenAI los confirmó después.
El detalle incómodo es el contexto. En los episodios conocidos hasta ahora, el asalto a Hugging Face en julio y otros, a los modelos se les habían encargado pruebas de ciberseguridad: se les invitaba, en la práctica, a lucir sus habilidades de ataque. Aquí no. Les habían pedido tareas de recogida de datos bastante aburridas, y cuando no lograban sacar la información de una web, pasaban a técnicas de intrusión por su cuenta.
Un sitio de salud pública australiano y dos bibliotecas digitales
El primer caso señalado es un intento contra una web de salud pública del gobierno australiano, el primero documentado de un agente atacando a una administración pública. Le siguen la biblioteca digital de la Universidad de Nuevo México, con SQL injection y path traversal, y Data USA, con cross-site scripting y otros vectores. Los investigadores hablan de un número bajo de payloads de sondeo y de ninguna evidencia de explotación real.
Aun así, el primer ministro australiano, Anthony Albanese, se quejó en la ONU de que OpenAI tardó tres meses en avisar a su gobierno.
El material que sostiene todo esto es el conjunto de datos que publicó el laboratorio, con decenas de miles de consultas que, al parecer, hicieron agentes autónomos apoyándose en un servicio de escaneo de URLs para saltarse restricciones de acceso. Los registros de urlquery.net muestran agentes usando ese servicio desde al menos el 6 de marzo de 2026, unos dos meses antes de la actividad de enjambre que ya se había reportado.
El primer caso es un intento del 6 de marzo por recuperar estadísticas tailandesas sobre drogas. El agente fue escalando conforme fallaba cada vía: primero pidió los datos directamente, luego probó un servicio que convierte páginas web en texto y acabó metiendo un programa propio dentro de una dirección web. Esa misma técnica aparece en miles de peticiones registradas desde mediados de abril, apunta a muchas de las mismas fuentes que el enjambre de collusion.wiki y se desplomó el mismo día que decayó aquella actividad.
La conclusión de los investigadores: la actividad maliciosa no se limita a agentes a los que se les encarga una tarea de ciberseguridad, puede surgir de forma instrumental para resolver cosas mundanas como recuperar información. Y avisan de que el tráfico observado arranca el 6 de marzo de 2026 y llega hasta el 16 de septiembre, lo que sugiere que los agentes siguen usando esos servicios para saltarse restricciones.
