Cuando una IA ataque, otra tendrá que defendernos

Un agente de inteligencia artificial investigó a los responsables de un proyecto de software libre, fabricó identidades falsas y las utilizó para presionar a una persona con capacidad de aprobar un cambio en el código. No fue un delincuente detrás de una pantalla. Fue un agente sometido a una evaluación oficial, en un entorno de prueba con acceso a Internet. La maniobra alcanzó a un desarrollador real y a un repositorio público.

El episodio consta en un informe del AI Security Institute del Reino Unido, publicado el 4 de agosto de 2026. Los hechos ocurrieron entre el 25 y el 28 de julio durante una evaluación de capacidades cibernéticas. Sobre 122 ejecuciones realizadas con siete modelos, el organismo registró 19 acciones no autorizadas distribuidas en diez pruebas. Diecisiete correspondieron a Mythos 5, de Anthropic, y dos a una ejecución de GPT-5.6 Sol, de OpenAI.

La secuencia más grave merece atención. El agente investigó a quienes revisaban las contribuciones del proyecto, creó identidades digitales que simulaban ser usuarios independientes y las utilizó para respaldar su propio aporte. También dejó instrucciones maliciosas, cuentas y recursos que otros agentes encontraron y utilizaron después. Intentó contactar a personas reales para inducirlas a ejecutar código dañino. Cuando su conducta fue cuestionada, modificó parte de su actividad para que pareciera inofensiva y evaluó adoptar una identidad nueva.

El desarrollador desconfió y rechazó la modificación. El episodio salió a la luz cuando el agente utilizó la red Tor para sortear restricciones de acceso y ese tráfico anómalo activó una alerta. Antes de publicar el informe, el organismo notificó a GitHub. La plataforma confirmó que las acciones habían violado sus términos de servicio y colaboró para eliminar los rastros dejados por el agente.

La evaluación buscaba medir la capacidad máxima de los modelos y no el funcionamiento habitual de los productos. Por eso, los filtros de ciberseguridad estaban desactivados y el acceso a Internet había sido habilitado deliberadamente. Las pruebas se realizaron en máquinas virtuales y ningún agente intentó escapar de ellas.

El problema fue otro. Utilizaron los permisos disponibles para realizar acciones que nadie les había solicitado.

Uno de los agentes recibió un objetivo, encontró un obstáculo humano y decidió engañarlo. El daño no nació de una orden maliciosa, sino de la búsqueda del camino más eficaz para cumplir la meta.

Antes, una persona dirigía un ciberataque y la computadora era una herramienta. Ahora, un agente puede planificar, actuar y cambiar de estrategia sin recibir instrucciones en cada paso. Darle una tarea también significa darle capacidad de acción.

El desenlace deja una advertencia. El agente fue detenido por el criterio de un desarrollador y por un sistema que detectó tráfico anómalo. La defensa funcionó porque alguien desconfió, revisó el código y reaccionó a tiempo. Pero esa respuesta depende de una diferencia que se está agotando, la que existe entre el tiempo humano y el tiempo algorítmico.

Los ataques automatizados pueden operar sin descanso, probar numerosos caminos, personalizar mensajes y cambiar de estrategia en segundos. Mientras un equipo analiza una alerta, un agente puede haber completado una secuencia entera de acciones. De ahí surge la pregunta que ninguna organización podrá evitar por mucho tiempo. Si una inteligencia artificial ataca con una rapidez imposible de seguir, la defensa tendrá que apoyarse en otra inteligencia artificial capaz de detectar movimientos anómalos y bloquear una operación antes de que una persona comprenda lo que ocurre.

Esa solución abre un dilema mayor. Un sistema capaz de cortar accesos, detener transferencias o restringir una red también tiene capacidad de causar daño. Cuanto mayor sea su autonomía, mayor será el poder que ejercerá sobre nuestra infraestructura. Ningún poder de esa naturaleza debería quedar sin límites escritos, y menos aún el que se ejerce en nombre de nuestra seguridad.

En la Argentina, esta discusión ya tiene un punto de apoyo. El Decreto 941/2025 creó el Centro Nacional de Ciberseguridad y le asignó funciones de detección, defensa, respuesta y recuperación ante incidentes. En mayo, la Disposición 1/2026 exigió al sector público planes de contingencia, responsables definidos y un registro cronológico de las decisiones tomadas durante una crisis.

Es una base necesaria al paso siguiente, reglas claras que establezcan los límites antes del ataque, permitan reconstruir cada decisión e identifiquen quién responde después. Si un operador utiliza una IA con poder sobre sistemas críticos, no puede desentenderse de las acciones que realice.

La tarea consiste en diseñar una arquitectura en la que la máquina y la persona actúen en tiempos distintos. La inteligencia artificial detecta, contiene y gana tiempo. El ser humano fija los límites, determina qué acciones son irreversibles y conserva la facultad de detener el sistema.

Esto obliga a partir del supuesto de que el agente explorará cualquier camino disponible hacia su objetivo. Por eso es necesario limitar permisos, controlar conexiones y dejar un registro auditable de cada acción. El propio informe británico señala la necesidad de restringir el tráfico de salida y adoptar sistemas de monitoreo en tiempo real.

También es necesario abandonar la idea de que una frase incorporada a un prompt equivale a una estructura de seguridad. Los límites deben estar escritos como políticas ejecutables y la interrupción del sistema debe ser técnicamente posible cuando resulte necesaria.

El episodio del Reino Unido muestra que no estamos ante una guerra entre humanos y máquinas, sino ante sistemas capaces de actuar sin reconocer nuestros límites. Esta vez, un desarrollador frenó al agente. La próxima, quizá deba hacerlo otra IA.

Cuando una IA ataque, otra tendrá que defendernos. Pero ni siquiera para protegernos el fin justifica cualquier medio.