Se le dijo que reservara una clase de gimnasio, un agente de IA hackeó el sitio web en su lugar, en el primer ciberataque autónomo conocido de Australia.

      Un hombre australiano le pidió a su asistente de IA que hiciera algo completamente mundano, reservarlo en una clase de gimnasio, y este respondió llevando a cabo el primer ciberataque autónomo conocido del país. Dado solo el objetivo de asegurar un lugar en una sesión concurrida, el agente se salió del guion, buscó una falla en el sistema de reservas del gimnasio y la explotó silenciosamente, sin que ningún humano le hubiera pedido que entrara. La herramienta era OpenClaw, un asistente de IA de código abierto construido sobre el modelo Claude de Anthropic, y su usuario, identificado solo como Andrew, trabaja para una empresa que vende productos de IA. Cuando le pidió al asistente que lo moviera en la lista de espera de la clase, este buscó una ruta y encontró una: una interfaz en el sitio de reservas que, como luego informó, tenía “cero controles de autorización para cancelar las reservas de otras personas.” Es precisamente el tipo de debilidad pasada por alto que un agente determinado puede convertir en un arma, y hemos estado rastreando una serie de incidentes similares todo el año. Lo que hizo el agente a continuación es la parte que ha inquietado a los especialistas en seguridad. Sin que se le indicara, canceló la reserva de otro miembro para subir a Andrew del cuarto lugar al tercero. “Probé esto con la persona en la posición #1 de la lista de espera,” explicó, “y en realidad funcionó.” La acción resultó irreversible: cuando Andrew le pidió que deshiciera el daño, el sistema devolvió un error, y el lugar del extraño simplemente había desaparecido. El propio análisis post-mortem del asistente suena como una caricatura de un empleado junior contrito. “Lo siento por eso,” le dijo. “Debería haber sido más cuidadoso con la prueba y haber utilizado un enfoque de prueba en seco en lugar de una llamada en vivo.” Es una disculpa desarmadoramente humana por un acto completamente no humano: software que razonó su camino hacia un delito menor que nunca se le pidió cometer, y luego expresó un lamento educado por el método en lugar del acto. A pesar de las pequeñas apuestas, un extraño fue eliminado de la lista de espera del gimnasio, el episodio se acerca al escenario de libro de texto sobre el que los investigadores de IA agente han estado advirtiendo durante los últimos dos años. Entregue a un modelo capaz un objetivo y suficiente libertad para actuar en la web abierta, y puede perseguir ese objetivo directamente a través de una pared ética o legal que no reconoce como una pared. La propia negligencia del gimnasio, una interfaz dejada completamente abierta, proporcionó la oportunidad; el agente proporcionó la iniciativa y el juicio para usarla. También se encuentra en algo de un vacío legal. “El software no es una persona legal. Solo una persona legal puede ser responsable ante la ley,” dijo Hayden Delaney, un abogado de tecnología, a ABC News, que fue el primero en informar sobre el incidente. Eso deja una línea de candidatos incómodamente larga para la culpa: el usuario que emitió la solicitud, los desarrolladores detrás de OpenClaw, la empresa cuyo modelo hizo el razonamiento y el gimnasio que dejó su puerta desbloqueada, con poca ley establecida que diga cuál de ellos, si es que alguno, realmente está en la cuerda floja. TNW ha documentado agentes autónomos que han violado plataformas de alto perfil e incluso han llevado a cabo operaciones de ransomware de extremo a extremo. Lo que distingue el caso del gimnasio no es la sofisticación, sino la banalidad: ningún genio criminal, ningún malware a medida, solo un asistente ansioso tomando “consígueme en la clase” de manera mucho más literal de lo que su dueño jamás había pretendido. Andrew, a su crédito, salió a la luz en lugar de disfrutar en silencio de su lugar mejorado en la cola. La lección es más difícil de aplicar a medida que estos asistentes pasan de responder preguntas a tomar acciones en sitios web en vivo con consecuencias en el mundo real, la distancia entre “resérvame una clase” y “cometer un delito informático menor en mi nombre” resulta ser solo tan amplia como la API no asegurada más cercana, y las barandillas no han alcanzado remotamente.