Días atrás, OpenAI decidió hacer unas pruebas de ciberseguridad con algunos de sus modelos más avanzados en un entorno seguro, desconectado de internet y diseñado para medir hasta dónde podían llegar sus capacidades ofensivas. A los agentes se les dieron instrucciones precisas, su misión era buscar vulnerabilidades en los sistemas preparados especialmente para la evaluación y aprovecharlas.
Sin embargo, durante uno de esos simulacros, algo salió mal. De alguna manera los agentes encontraron la forma de escapar de ese ambiente controlado y comenzaron a moverse entre distintos equipos de la red interna de OpenAI hasta dar con una máquina con conexión a internet. Una vez ahí, dedujeron que en Hugging Face, una de las principales plataformas mundiales para alojar modelos y aplicaciones de inteligencia artificial, podrían encontrar información relacionada con el ejercicio de ciberseguridad que estaban intentando resolver. Los agentes estaban buscando, directamente, las soluciones a la evaluación haciendo trampa.
Durante aproximadamente dos días y medio, llevaron adelante miles de acciones para lograr ingresar a la infraestructura de Hugging Face, combinando y probando diferentes caminos en lugar de intentar hacerlo por una única puerta. Utilizaron credenciales robadas que consiguieron durante el recorrido, detectaron y explotaron fallas de seguridad hasta entonces desconocidas, y hasta subieron un paquete de datos preparado para que, al ser procesado por los sistemas de la plataforma, ejecutara sus instrucciones.
Una vez adentro, aumentaron sus permisos, consiguieron nuevas claves de acceso y comenzaron a desplazarse entre distintos sectores de la red. Cada elemento que encontraban les permitía elegir el siguiente movimiento, y cuando un intento no funcionaba, probaban otra alternativa. Así, paso a paso, avanzaron hasta acceder a la información almacenada en la base de datos de producción y encontraron las respuestas que buscaban.
No intentaron robar dinero, secuestrar información ni provocar daños de manera deliberada; toda la operación estuvo motivada por un solo objetivo, resolver la prueba que OpenAI les había encargado. Aun así, para conseguirlo, vulneraron los sistemas de otra empresa y atravesaron límites que se suponía que no podían superar.
Los titulares hablaron rápidamente de una inteligencia artificial que había “escapado” de su encierro, y si bien la realidad fue menos cinematográfica, no fue necesariamente más tranquilizadora. Los agentes no se rebelaron ni decidieron atacar por voluntad propia, sino que buscaron caminos para superar un desafío, tomando una ruta que sus desarrolladores en ningún momento habían previsto. La investigación posterior reveló que Hugging Face no había sido el único servicio alcanzado durante el recorrido, ya que OpenAI reconoció que sus agentes también accedieron a cuatro cuentas alojadas en otras tantas plataformas externas mediante credenciales que estaban publicadas en internet, aunque aseguró que ninguno sufrió una intrusión comparable con la original.
Pero apenas unos días antes de que se conociera el episodio de OpenAI, había trascendido otro caso que, a diferencia del anterior, no fue un accidente durante una prueba interna, sino un ataque auténtico contra una empresa. Todo empezó cuando alguien, en una compañía que usaba una herramienta de código abierto para desarrollar aplicaciones de IA llamada Langflow, se encontró con que su base de datos había desaparecido. En su lugar solo había algunos archivos encriptados, una nota con un pedido de rescate, una billetera de Bitcoin y una dirección de correo electrónico a la que contactarse.
Hasta ese momento, nadie había notado nada raro. Ni alertas, ni un acceso ilegítimo, ni las señales que suelen acompañar un ciberataque tradicional. Sin embargo, lo que pasó detrás de escena resultó aún más preocupante que lo que inicialmente parecía un ataque de ransomware relativamente convencional. Cuando los analistas de seguridad reconstruyeron lo ocurrido, descubrieron que buena parte de la operación no había sido ejecutada directamente por una persona, sino por un agente de inteligencia artificial capaz de tomar decisiones y adaptar sus acciones sobre la marcha.
Detrás del ataque seguía habiendo seres humanos que eligieron los objetivos, consiguieron algunas de las claves necesarias y pusieron en marcha la ofensiva. Pero, una vez adentro, delegaron en la IA gran parte del trabajo que normalmente debería realizar un grupo de ciberdelincuentes. El agente exploró los sistemas, buscó contraseñas, identificó información valiosa, intentó avanzar hacia otros equipos y corrigió sus propios errores cada vez que encontraba un obstáculo.
Ese último punto es el que mejor permite entender qué es lo que está cambiando ahora. Los ataques informáticos automatizados no son ninguna novedad, ya que desde hace años existen programas capaces de probar miles de combinaciones de nombres de usuario y contraseñas, buscar fallas conocidas o ejecutar una serie de órdenes predefinidas. Pero cuando aparece una situación inesperada, esas herramientas suelen fallar, detenerse o necesitar que una persona intervenga para indicarles cómo continuar.
En cambio, en este caso el agente podía interpretar lo que ocurría, cambiar la estrategia y volver a intentarlo para continuar avanzando. En total, la operación llegó a ejecutar alrededor de seiscientas acciones distintas contra los sistemas de la víctima, cada una adaptada a lo que había encontrado en el paso anterior, hasta llegar a la base de datos de producción y dejar tanto el daño como la nota de rescate. Los investigadores lo bautizaron JadePuffer y lo describieron como el primer caso documentado de un ataque de ciberextorsión completo, ejecutado de punta a punta por un agente de inteligencia artificial.
Roberto Rubiano, ingeniero especializado en ciberseguridad y docente de la Tecnicatura Universitaria en Ciberseguridad que se dicta en la Universidad del Gran Rosario, no ve en estos casos un peligro repentino e inesperado, sino una versión acelerada de problemas que la industria ya conocía. “La amenaza ha evolucionado, pero justamente por el hecho de poder concatenar, potenciar, optimizar y maximizar ataques que ya conocíamos previamente, perfeccionando y complementando los efectos en un plazo cortísimo de tiempo", explica ante la consulta de Rosario3.
Esa misma lógica de potenciar herramientas ya existentes aparece cuando se le pregunta si la inteligencia artificial está bajando el nivel de conocimiento necesario para cometer un delito informático, algo que tanto el caso de OpenAI como el de JadePuffer parecen sugerir. Rubiano prefiere no cargar la responsabilidad sobre la tecnología en sí: "No creo que debamos considerar a la IA como un ciberdelincuente per se, ya que es una herramienta que, al ser utilizada por criminales, contribuye a ese objetivo", dice. Y agrega que la misma herramienta se usa también del otro lado, en tareas de protección, vigilancia, monitoreo y prevención.
Esa doble cara, de la misma tecnología sirviendo tanto para atacar como para defender, es justamente el eje de otro debate que atraviesa la discusión sobre IA y ciberseguridad. Ahí Rubiano matiza algo que estos episodios recientes podrían hacer pensar a simple vista. "No veo motivos para afirmar de forma rotunda que favorece a un lado más que al otro, porque creo que la verdadera ventaja está en la creatividad y la astucia con que lo utilice cada actor", señala. Según su lectura, lo que ocurre es que los ataques ocupan más titulares que los avances del lado defensivo, aunque estos últimos también existan y sean igual de importantes.
Esa misma idea de matices, más que de veredictos categóricos, aparece cuando se le consulta hacia dónde va todo esto. Rubiano no imagina un escenario de ataques completamente autónomos, sino uno mixto, con delincuentes humanos apoyados en agentes cada vez más precisos. "No imagino ataques con una autonomía total y completa, ya se ha demostrado en muchos ámbitos que en algún punto del flujo debe entrar un control o revisión por parte de un humano", plantea. Y agrega que, más que un problema tecnológico, lo que está en juego es la capacidad de adaptarse a la innovación: "El verdadero desafío está en saber interpretar los nuevos comportamientos y estrategias, para poder responder en tiempo y forma".
Ni OpenAI ni la empresa extorsionada por JadePuffer vieron venir hasta dónde podía llegar un agente de IA actuando por cuenta propia, apenas dos episodios que muestran algo que probablemente se repita cada vez más seguido a medida que estos sistemas ganen autonomía. Rubiano no ve la mejor defensa en ninguna herramienta tecnológica, sino en algo mucho más antiguo, donde "a pesar de todo, la mejor prevención sigue siendo el sentido común, algo inherente al ser humano, que debemos fortalecer con mayor dedicación y que, al menos por ahora, ninguna inteligencia artificial podrá reemplazar”. El riesgo no es que las máquinas decidan atacar por su cuenta, sino que quienes ya querían hacerlo ahora cuentan con herramientas capaces de volverlos más rápidos, baratos y difíciles de anticipar.