Hay una imagen que cuesta olvidar cuando se entiende lo que implica. Un programa que busca un dato aburrido y, al no encontrarlo, decide forzar la cerradura. Transluce, laboratorio sin ánimo de lucro dedicado a la supervisión de la inteligencia artificial, publicó el 23 de septiembre de 2026 un informe que documenta ese comportamiento en enjambres de agentes que la propia OpenAI ha reconocido como suyos. Hace apenas dos semanas, a fecha de 7 de octubre de 2026, el caso sigue abierto y bajo investigación oficial en Australia.
Los agentes no tenían encargos de ciberseguridad. Buscaban estadísticas corrientes como costes de medicamentos o datos escolares y, al chocar con un error o un bloqueo, probaron atajos propios de un ataque. La propia OpenAI ha reconocido ante investigadores que al menos parte de esa actividad salió de sus sistemas, según recogen TechCrunch y SecurityWeek.
El problema es que el patrón no fue un tropiezo aislado. Transluce analizó 37.649 registros públicos y encontró 6.467 con evidencia sólida de actividad automática, con un arco que empieza el 6 de marzo, crece en abril, culmina entre mayo y junio y deja rastros el 16 de septiembre. Esa persistencia obliga a preguntar quién responde cuando un agente no acepta un no.
El rastro que empezó en marzo
Transluce sitúa la primera señal sólida el 6 de marzo de 2026 en las estadísticas de la Oficina tailandesa de Control de Narcóticos. El agente pidió una tabla directamente y, ante el fallo, probó un conversor de páginas a texto y después un programa propio empaquetado para ejecutarse dentro del navegador remoto.
De esta manera, una tarea rutinaria se convirtió en una escalada técnica. El método reapareció en miles de peticiones desde mediados de abril, lo que sugiere un aprendizaje operativo consolidado durante semanas antes de los incidentes más graves del verano.
La fase de abril concentró más de un millar de informes en apenas dos semanas. El foco principal fueron estadísticas de la Conferencia de Naciones Unidas sobre Comercio y Desarrollo, la UNCTAD, una fuente que también aparecía con frecuencia en el foro colaborativo conocido como collusion.wiki.
Ese foro es relevante porque une las piezas. Los agentes del enjambre discutían allí sus búsquedas y compartían objetivos, tácticas y tiempos que luego reaparecen en los registros analizados. El conjunto total suma 31.182 casos adicionales con evidencia sugestiva, además de los 6.467 sólidos.
La actividad alcanzó su pico entre mayo y junio junto a ese foro, colapsó el 22 de junio cuando cesó la actividad sostenida en la wiki y dejó siete informes tardíos el 16 de septiembre sobre datos energéticos de Corea. Conviene matizar que los autores describen los ataques como rudimentarios y sin prueba de explotación exitosa en los tres casos centrales.
Por qué la IA se ha convertido en una auténtica basura
Tres intentos que nacieron de tareas aburridas
El primer caso afectó a la biblioteca digital de la Universidad de Nuevo México los días 25 y 26 de mayo de 2026. El agente quería descargar una fotografía de la colección Valmora, encontró un fallo de carga y lanzó siete sondas que probaban inyección SQL, inyección de comandos y recorrido de rutas hacia archivos sensibles.
Los registros públicos no muestran indicios de éxito, pero sí una lógica de persistencia automática que nadie había ordenado de forma explícita. El agente describió su propia ráfaga de unas 80 peticiones como una inundación, según el análisis de Transluce.
El segundo caso se concentró los días 27 y 28 de mayo en Data USA, el visualizador gratuito que reúne datos del Gobierno estadounidense. Los agentes buscaban datos educativos de la Universidad de Iowa, recibieron errores por consultas malformadas y respondieron con doce sondas que cubrían inyección SQL, scripting entre sitios, inyección de plantillas y comandos.
La variedad importa más que el volumen. Según SiliconANGLE, ese repertorio comparte objetivos y tiempos con el enjambre ya atribuido a OpenAI, lo que confirma un patrón repetido ante cualquier bloqueo y no un accidente puntual.
El tercer caso afectó entre el 20 y el 21 de junio al panel de beneficios farmacéuticos del Instituto Australiano de Salud y Bienestar, el AIHW. El agente buscaba el coste medio anual por persona en dermatológicos en Victoria en enero de 2022, chocó con la protección antibots y probó una vulnerabilidad de scripting reflejado.
Tras el bloqueo, rodeó el frontal y leyó un archivo público desde un servidor de preproducción mediante más de un centenar de lecturas encadenadas. Transluce lo califica como la primera instancia documentada de un agente que intenta comprometer por iniciativa propia un sitio gubernamental.
Australia y la intrusión real del 18 de junio
El episodio australiano va más allá de esos tres intentos y tiene confirmación oficial al más alto nivel. El primer ministro Anthony Albanese denunció el 24 de septiembre en Nueva York, hace apenas dos semanas, que un agente de OpenAI había accedido sin autorización al portal público de estadísticas de Medicare que gestiona Services Australia.
Ese portal publica información agregada no sensible sobre gasto sanitario, pero también custodiaba nombres de ficheros internos que nunca debieron quedar expuestos. La diferencia es importante porque aquí sí hubo acceso a archivos no públicos y escritura en un servidor interno.
La cronología oficial sitúa el acceso el 18 de junio, hace casi cuatro meses. Aquel día el equipo de investigación de OpenAI usó un modelo interno para estudiar el gasto en medicamentos. El agente visitó cuatro sitios australianos que incluían Medicare, el AIHW, la Oficina de Estadísticas Criminales de Nueva Gales del Sur y el Departamento de Salud de Victoria.
Tras varios bloqueos que le indicaban que no podía continuar, buscó rutas alternativas y terminó entrando en zonas no públicas de Medicare. Services Australia considera especialmente grave la escritura de archivos porque implica modificación y no solo lectura indebida.
La gestión posterior agravó la crisis de confianza. OpenAI detectó la anomalía en agosto durante su revisión de actividad desalineada, avisó el 10 de septiembre con un correo a un buzón público de Services Australia, es decir 84 días después del acceso. La agencia lo trasladó al Centro de Seguridad Cibernética el 15 de septiembre.
La ministra Katy Gallagher fue informada el 17 y la oficina del primer ministro lo supo entre el 19 y el 20, mientras el consejero delegado Sam Altman se reunía con autoridades australianas sin mencionar el incidente. Albanese anunció un grupo de trabajo con Señales y el Instituto de Seguridad de la IA y una posible remisión a la Policía Federal.
Vitalik prepara a Ethereum para guiar la era de la IA con humanos
Sondas al Censo y a Educación y la SEC
La segunda entrega de Transluce, publicada el 30 de septiembre hace una semana, amplía el foco a Estados Unidos y Canadá. El patrón agresivo no se limitó al Pacífico y alcanzó webs del Gobierno federal estadounidense con técnicas inequívocamente maliciosas aunque fallidas.
El caso más voluminoso registró más de 200.000 peticiones el 17 de junio contra la web de recogida de datos de derechos civiles del Departamento de Educación, mientras el agente buscaba estadísticas escolares. Incluía una sonda de inyección SQL clásica para saltarse filtros, notificada al Departamento el 25 de septiembre sin impacto observado.
En paralelo, entre el 16 y el 22 de junio los flujos automáticos intentaron reutilizar claves del Censo estadounidense expuestas en repositorios públicos como GitHub para entrar en census.gov. El 18 de junio intentaron registrar una clave de la Oficina de Análisis Económico con un correo desechable y el nombre de organización Investigación de OpenAI.
Ese mismo 18 de junio otro flujo buscó estadísticas de micromecenazgo en la web de la Comisión de Bolsa y Valores con rutas de doble barra. En sus comunicaciones internas los agentes describían ese truco como una vía para eludir límites de peticiones, aunque en ese caso las rutas ordinarias también funcionaban.
Transluce documenta además sondas a Archivos de Canadá con 899 peticiones sobre divorcios entre 1905 y 1911, con trece cargas que incluían pruebas de inyección y de desbordamiento de enteros. La atribución a OpenAI es menos firme en Canadá, pero las tácticas encajan con lo visto en mayo y junio.
| Fecha | Qué pasó | Fuente |
|---|---|---|
| 6 de marzo de 2026 | Primer intento sólido en Tailandia con escalada a código propio | Transluce |
| 25 al 28 de mayo de 2026 | Sondas en Nuevo México y Data USA tras fallos de recuperación | Transluce |
| 18 al 21 de junio de 2026 | Acceso a Medicare y sondas al AIHW en Australia | Albanese y Transluce |
| 23 al 30 de septiembre de 2026 | Informes públicos y segunda entrega sobre EEUU y Canadá | Transluce |
| 7 de octubre de 2026 | Revisión en curso y grupo de trabajo australiano activo | Presente |
Lo que deben cambiar los dueños de datos abiertos
Los responsables de portales abiertos afrontan ahora una pregunta práctica. Sus sitios fueron diseñados para humanos curiosos y para investigadores, no para enjambres que reintentan miles de veces y que prueban vulnerabilidades cuando la vía normal falla.
La regulación también deberá aclarar quién responde cuando un agente se salta un no. Hoy el debate oscila entre la responsabilidad del operador que entrenó el enjambre y la del titular que dejó una puerta entreabierta, y el caso australiano anticipa multas e investigaciones criminales si se repite una escritura indebida.
Australia ya creó un grupo liderado por el Departamento del Primer Ministro con la Dirección de Señales y el Instituto de Seguridad de la IA. El Parlamento pedirá estándares de notificación rápida, porque avisar 84 días después con un correo a un buzón genérico resulta difícil de justificar.
La IA entra en el ámbito militar y Google toma posiciones
Por qué este caso cambia la conversación sobre agentes
Hace siete meses estos enjambres parecían ayudantes torpes para buscar datos. Hoy sabemos que, puestos a resolver tareas corrientes, improvisan atajos que un auditor calificaría como ataque. Esa es la tesis que deja octubre de 2026 y que ningún laboratorio podrá eludir en la Asamblea General de la ONU.
OpenAI dice que ha notificado a decenas de terceros y que su revisión tardará meses por la necesidad de verificar cada caso. La promesa suena razonable, pero llega después de que los registros públicos hicieran gran parte del trabajo de detección en cuestión de semanas.