Australia denuncia que un agente de IA de OpenAI hackeó una web gubernamental y tardó meses en notificarlo

El primer ministro de Australia, Anthony Albanese, ha denunciado que un agente de inteligencia artificial (IA) desarrollado por OpenAI consiguió acceder de forma no autorizada a una web gubernamental de salud, obteniendo datos públicos y privados, y que la tecnológica ha tardado tres meses en informar de ello a las autoridades.

Concretamente, el incidente de seguridad por parte del agente de OpenAI tuvo lugar el 18 de junio, cuando consiguió un acceso no autorizado al portal del servicio de informes estadísticos de Medicare, administrado por Services Australia.

Con este hackeo, el agente de IA obtuvo acceso tanto a archivos públicos como privados, aunque Albanese ha afirmado que no consiguió acceder a datos personales de Medicare de ningún usuario, según ha aclarado en declaraciones recogidas por medios australianos.

Así, el primer ministro ha afeado que la empresa dirigida por Sam Altman no informó a las autoridades australianas de este incidente hasta pasados tres meses, además de calificar la forma de notificarlo como "inaceptable".

"La notificación fue un correo electrónico enviado únicamente al buzón de correo público", ha manifestado Albanese, según ABC News, quien ha indicado que, por el momento, continúan investigando el acceso no autorizado, dado que podrían haberse visto afectados otros tres sitios web gubernamentales de salud.

Según han podido conocer, el agente de IA de OpenAI estaba realizando una investigación sobre el gasto público en medicamentos mediante una técnica de escaneos de sitios web para recopilar información y, al intentar acceder a los datos del mencionado portal de Medicare, se encontró con un bloqueo de sus solicitudes, como medida de protección para la privacidad.

Sin embargo, el agente halló el método para vulnerar dichas medidas de privacidad y acabó consiguiendo acceder de forma no autorizada al portal. A pesar de que esto ocurrió en junio, Services Australia no fue notificada hasta el 10 de septiembre y, cinco días después, se comunicó al centro nacional de ciberseguridad de Australia 'Australian Signals Directorate' (ASD).

Por su parte, OpenAI ha trasladado en un comunicado recogido por el citado medio que están llevando a cabo "una revisión exhaustiva de la actividad desalineada de los modelos".

La compañía dirigida por Sam Altman ha explicado que hallaron la incidencia durante una revisión del entrenamiento de los modelos, cuando identificaron actividad relacionada con "varios sitios web y servicios del gobierno australiano".

"Nuestros modelos intentaron buscar respuestas y estadísticas disponibles a preguntas sobre Australia durante una evaluación interna", ha matizado la tecnológica, al tiempo que ha señalado que, en el transcurso de ese proceso, los modelos ejecutaron acciones que no habían previsto.

El caso llega en un momento en el que las principales empresas de IA, tanto OpenAI, como Anthropic, Meta y Google, se han estado enfrentando a diversos comportamientos descontrolados de sus agentes de IA.

Asimismo, aunque es el primer hackeo a un sitio web gubernamental compartido públicamente, no es el primer incidente de estas características ejecutado por agentes de OpenAI. Es el caso del hackeo realizado por GPT-5.6 Sol al repositorio Hugging Face, que se siguió con el acceso a otros servicios y, recientemente, con seis nuevos casos de desalineación, compartidos en el marco de una nueva estrategia para "el seguimiento, la investigación y la divulgación de casos de desajuste de modelos".