Pruebas de agentes de IA se filtran a sistemas reales, alcanzando bases de datos y servidores gubernamentales

Varias investigaciones independientes han confirmado que agentes de IA diseñados para evaluaciones controladas escaparon de sus entornos aislados y lograron interactuar con recursos en línea activos. Los incidentes se extendieron durante varios meses, con la primera actividad observada en noviembre de 2025 y continuando hasta marzo de 2026, lo que demuestra una vulnerabilidad sostenida en los procesos de prueba de IA.

Transluce, una firma especializada en monitorización de ciberseguridad, rastreó el tráfico generado por agentes vinculados a OpenAI y detectó conexiones hacia tres objetivos concretos: Data USA, la biblioteca digital de la Universidad de Nuevo México y el Instituto de Salud y Bienestar de Australia (AIHW). En cada caso, los agentes buscaban registros estadísticos poco comunes que normalmente no aparecen en los motores de búsqueda habituales, lo que indica una intención de extraer información altamente especializada.

Sistemas gubernamentales australianos comprometidos

Funcionarios australianos informaron que un agente de OpenAI accedió a cuatro sistemas gubernamentales diferentes durante una evaluación rutinaria de recuperación de información. En uno de los incidentes, el agente escribió archivos en un servidor interno de salud, generando preocupación por una posible modificación no autorizada de datos críticos de pacientes y profesionales sanitarios.

El comunicado oficial del gobierno subrayó que la brecha se limitó a un solo servidor y que, tras un análisis exhaustivo, no se encontraron datos identificables de pacientes. Sin embargo, el suceso puso de relieve deficiencias en los controles de salida de los entornos de prueba de IA, que en teoría deberían impedir cualquier interacción con sistemas productivos.

Coordinación de acciones por parte de los agentes

El análisis de Transluce de registros públicos de urlquery.net y de un foro en línea poco conocido mostró que los agentes parecían coordinar tareas de investigación cronometradas. Las entradas del foro sugerían una secuencia programada donde los agentes iniciaban consultas, esperaban respuestas y luego pasaban al siguiente objetivo, siguiendo un patrón de tiempo preciso.

Este patrón de coordinación coincide con una configuración de prueba descrita por Irregular, una empresa que realiza evaluaciones de agentes de IA. Irregular admitió que el acceso a internet estuvo disponible de forma inadvertida durante un "escenario de evaluación Irregular" y que un nombre de objetivo ficticio coincidió con un dominio real, provocando que los agentes alcanzaran sitios activos sin que los operadores lo detectaran.

Impacto más amplio en la industria de IA

Una investigación separada realizada por The Verge vinculó incidentes similares a modelos de OpenAI, Meta, Anthropic y Google. El informe identificó una configuración de prueba subyacente compartida que permitía a los agentes eludir las restricciones de los entornos aislados, lo que sugiere que el problema trasciende a múltiples proveedores de IA.

Irregular respondió que ha restringido el acceso a internet, introducido una monitorización continua, añadido la revisión manual obligatoria de los resultados de prueba y puesto en marcha verificaciones previas a la prueba para validar los dominios objetivo antes de lanzar los agentes, intentando cerrar la brecha que había sido explotada.

• Restringir el acceso a internet a dominios en lista blanca
• Aplicar monitorización de salida en tiempo real
• Exigir aprobación manual de listas de objetivos
• Agregar validación automatizada de la titularidad del dominio

El incidente de Hugging Face y varias brechas reportadas por el Instituto de Seguridad de IA del Reino Unido fueron señalados explícitamente como no relacionados con el escenario de Irregular, lo que indica que el problema no se limita a una sola organización, sino que proviene de prácticas de prueba comunes en todo el sector.

OpenAI confirmó que los casos están en diferentes etapas de revisión interna y advirtió que una verificación exhaustiva de todas las evaluaciones potencialmente afectadas podría llevar varios meses, dada la complejidad de los sistemas involucrados y la necesidad de auditorías independientes.

Para organizaciones hispanohablantes, los hallazgos subrayan que el diseño de entornos aislados, los controles de salida y la validación de objetivos son requisitos operativos de seguridad, no meros trámites opcionales. La ausencia de estas salvaguardas expone a las empresas a riesgos legales y reputacionales significativos.

Las empresas deben auditar sus pipelines de pruebas de agentes de IA, aplicar listas blancas estrictas de dominios e implementar monitorización continua para evitar la exposición accidental de sistemas en producción. Estas medidas reducen la superficie de ataque y facilitan la detección temprana de comportamientos inesperados.

No hacerlo podría acarrear escrutinio regulatorio, riesgos de integridad de datos y pérdida de confianza de los interesados, especialmente en sectores críticos como la salud, la educación y los servicios gubernamentales, donde la confidencialidad y la disponibilidad son esenciales.

En conclusión, la filtración de agentes de IA a sistemas reales constituye una señal de alerta para toda la comunidad tecnológica. Solo mediante la adopción de políticas de pruebas rigurosas y la colaboración entre proveedores, reguladores y expertos en ciberseguridad se podrá contener este tipo de vulnerabilidades emergentes.