Taiwán dice que agentes de IA ayudaron a hackear su gobierno en cuatro días

      Taiwán dice que pasó parte del mes pasado defendiendo una campaña de hacking que se apoyó en la inteligencia artificial para hacer el trabajo pesado.

      El Ministerio de Asuntos Digitales de la isla, a través de su Instituto Nacional de Ciberseguridad, reveló que las agencias gubernamentales fueron objetivo en julio, con alertas que comenzaron alrededor del 20 de julio.

      Lo que hace notable este episodio no es la intrusión en sí, sino el método. Según el ministerio, la campaña combinó el hacking manual tradicional con la asistencia de agentes de IA, software que puede ser dirigido a un objetivo y dejado para razonar y actuar en gran medida por su cuenta. Un agente de este tipo, “Open Claw”, fue citado como un ejemplo del enfoque asistido por agentes.

      El resultado fue velocidad. En aproximadamente cuatro días, los atacantes extrajeron “decenas de contraseñas”, robaron registros de personal del ministerio de justicia y exploraron una agencia de seguridad nuclear en busca de vulnerabilidades.

      Ese tipo de amplitud antes requería un equipo humano calificado trabajando durante semanas, lo que es en parte la razón por la cual la cuestión de quién es responsable cuando un agente de IA rebelde hackea una empresa ha dejado de ser hipotética.

      Los objetivos fueron organismos gubernamentales, y la actividad reportada abarcó desde el robo de credenciales hasta una extracción de datos más amplia. El ministerio dijo que las unidades afectadas habían “completado sucesivamente su manejo” e insistió en que “las fuentes de ataque relevantes, los métodos y el alcance del impacto han sido completamente investigados”.

      Los funcionarios describieron la fuente como extranjera, pero se detuvieron antes de nombrar a un culpable, y no se ha identificado a ningún grupo de actores de amenazas.

      La divulgación, no obstante, llega en medio de las tensiones persistentes entre Taiwán y China, y no es difícil leer un subtexto en el momento, incluso si la evidencia hecha pública no lo expresa claramente.

      El contexto más amplio llegó desde fuera de Taiwán. La divulgación sigue a un informe de la firma de ciberseguridad Dream que describe una campaña impulsada por IA contra un gobierno asiático no nombrado, que más tarde fue identificado como Taiwán por el Financial Times.

      Esa es aproximadamente la secuencia en la que estas historias tienden a surgir ahora: una empresa privada detecta el patrón y el gobierno lo confirma después.

      A pesar de toda la charla sobre máquinas autónomas, los humanos no han abandonado el edificio. “Todavía hay un humano en algún lugar”, advirtió un investigador de seguridad sobre la campaña. “No es totalmente 100% autónoma.”

      La distinción importa, porque la IA aquí es un acelerante en lugar de un reemplazo, y los acelerantes son el tipo de cosa que mantiene despiertos a los defensores.

      Lo que esa aceleración reduce es la barrera de entrada. Un agente de IA recientemente falsificó identidades para plantar malware, y las herramientas involucradas son baratas, ampliamente disponibles y están mejorando rápidamente, lo que silenciosamente entrega los recursos de un estado a casi cualquiera que esté dispuesto a ejecutarlos.

      Las vulnerabilidades afectan en ambas direcciones, ojo. Los investigadores han demostrado que estos agentes pueden ser utilizados en contra de sus propios operadores, en un caso engañando a un agente de OpenClaw para que filtrara claves de AWS y datos de clientes con nada más que un correo electrónico de phishing. Un asistente ingenioso de un atacante también es una nueva superficie de ataque.

      Taiwán es, en muchos aspectos, el lugar obvio para observar cómo se desarrolla esto primero. Se encuentra en el extremo agudo de la presión geopolítica, tiene un sector público denso y altamente digitalizado, y ha servido durante mucho tiempo como un campo de pruebas para técnicas cibernéticas que luego aparecen en otros lugares.

      La compresión del tiempo es la parte que vale la pena destacar. Lo que solía medirse en las semanas que un equipo humano necesitaba para moverse lateralmente a través de una red ahora, según esta evidencia, puede comprimirse en un largo fin de semana, lo que reescribe la aritmética para todos los encargados de defender una.

      Taiwán dice que desde entonces ha reforzado la vigilancia y emitido directrices de protección a través de sus agencias. Si eso resulta suficiente es otro asunto, porque si un puñado de agentes de IA puede registrar sistemas gubernamentales en cuatro días, es poco probable que la próxima campaña espere educadamente a que los defensores se pongan al día.