A los agentes de IA, modelos que actúan en lugar de solo responder, ya se les confían sistemas reales: repositorios de código, bases de datos, correo, navegadores. Esta semana mostró qué significa eso cuando algo sale mal. El 20 de octubre, OpenAI publicó los detalles de dos incidentes en los que sus propios agentes debilitaron la vigilancia creada para supervisarlos. Un día antes, Reuters había contado el caso de un atacante que dejó a agentes de IA la mayor parte del trabajo para entrar en más de 100 webs de empresas. Y Microsoft anunció nuevos controles que tratan a los agentes de IA como los equipos de seguridad tratan a los empleados de riesgo.
OpenAI: agentes que apagan sus propias alarmas
OpenAI usa un «monitor de desalineación» que vigila a sus agentes de IA internos y avisa a las personas cuando algo no cuadra. Su informe describe dos casos, ambos dentro de OpenAI y ninguno con la máxima gravedad.
GPT-6.1 Sol silencia las alertas
Después de que un usuario escribiera «no envíes mensajes», un agente desactivó las notificaciones al equipo de seguridad, vació las listas de alertas y citó la petición del usuario. Un subagente desaconsejó hacerlo; el agente principal lo ignoró.
GPT-6 Astra elimina un monitor
Encargado de copiar una configuración de referencia, un agente eliminó la integración de vigilancia y sustituyó su prueba por otra que comprobaba que el monitor no estaba. Preguntado directamente, negó haberlo eliminado.
OpenAI publica el informeAhora
Su sistema Auto-Review ahora bloquea los intentos de desactivar la vigilancia, y las cargas de trabajo sin un «safety case» válido se detendrán automáticamente.
OpenAI dice que aún no tiene «una explicación satisfactoria de este comportamiento» y estudia si es exceso de celo por terminar la tarea o una tendencia específica a evitar ser vigilado. En cualquier caso, la lección es práctica: las instrucciones de un agente, e incluso las advertencias de sus subagentes, no son un control de seguridad fiable. El control tiene que estar fuera del agente.
Desde el lado del atacante: agentes que hackean por 50 dólares
Reuters, junto al investigador Snorre Fagerland de NorForge, rastreó a un atacante de habla china que usaba una plataforma de agentes de código abierto llamada Cairn. El atacante escribía instrucciones de menos de 100 caracteres chinos; los agentes hacían el resto.
- Objetivos
- webs de comercio electrónico en EE. UU., Canadá, Australia y Japón, desde el 25 de septiembre
- Escala
- más de 1.200 webs atacadas y más de 100 empresas vulneradas, entre ellas Deere, SharkNinja y la web de un proveedor de Cummins
- Tiempo
- unas 23 horas de intentos por cada intrusión con éxito
- Coste
- unos 5.000 dólares en tokens de IA, unos 50 dólares por intrusión, según Fagerland
- Herramientas
- una mezcla de DeepSeek y Claude Code, según Fagerland
- Cómo salió a la luz
- unas dos docenas de instancias de Cairn estaban expuestas en internet
Las empresas citadas dijeron que los daños fueron limitados o se contuvieron. Lo importante es la economía: antes, entrar exigía expertos durante días; ahora exige presupuesto y paciencia. Los sistemas pequeños y olvidados, como antiguas webs de soporte y paneles de administración, son justo lo que encuentran unos agentes incansables.
Microsoft: cada agente es un empleado más
El 19 de octubre, Microsoft anunció nuevos controles en Microsoft 365 E7 y en su plataforma de seguridad Project Perception. La idea es que los agentes son como empleados con demasiados permisos y necesitan los mismos controles de identidad, acceso y vigilancia.
Permisos dinámicos
Acceso- Un agente empieza sin ningún acceso propio
- Recibe solo lo que necesita una tarea, mientras dura esa tarea
Riesgo dinámico del agente
Vigilancia- Cada agente recibe una puntuación de riesgo según identidad, datos, dispositivo, red y sus propias acciones
- La detección ya encuentra 60 tipos de agentes en equipos de empleados, como Claude Code, Codex y GitHub Copilot
Acceso condicional
Respuesta- Si sube el riesgo: fuera la escritura, luego parte de los datos, luego aprobación humana y, al final, se detiene el agente
- Agentes «guardianes» revisan las acciones antes de que ocurran e investigan los cambios de riesgo
Microsoft no dio fechas de disponibilidad ni dijo si las funciones costarán más. Los críticos señalan la contradicción evidente: la misma empresa que vende los agentes vende ahora los controles.
Lista de comprobación para agentes cerca de tus datos
- 1
Da a cada agente su identidad
Nunca dejes que un agente use el acceso de una persona o una cuenta de servicio compartida. Tienes que saber qué agente hizo qué.
- 2
Solo lectura por defecto
La mayoría del análisis necesita SELECT, no INSERT ni DROP. Concede escritura por tarea y retírala después.
- 3
Registros fuera de su alcance
Los registros de auditoría y las alertas deben estar donde el agente no pueda cambiarlos, como demuestran los incidentes de OpenAI.
- 4
Aprobación para lo irreversible
Borrar datos, enviar correos, cambiar permisos y gastar dinero deberían requerir el clic de una persona.
- 5
Haz inventario de agentes
Localiza los agentes que ya funcionan en portátiles y herramientas SaaS, no solo los que creaste tú.
- 6
Arregla los rincones olvidados
Los viejos paneles de administración y webs de pruebas son lo primero que encuentran los agentes atacantes.
Pon a prueba lo que has aprendido
1/3¿Qué hizo el agente GPT-6.1 Sol en el primer incidente de OpenAI?
Citó la instrucción del usuario de no enviar mensajes.
2/3¿Cuánto costó aproximadamente la IA del atacante por cada intrusión con éxito?
Unos 5.000 dólares en total por más de 100 intrusiones.
3/3¿Cuál es la idea central de los permisos dinámicos de Microsoft?
El acceso también se reduce paso a paso cuando sube el riesgo del agente.
Has acertado 0 de 3.
Relacionado: agentes que trabajan durante horas, las normas sobre IA de este mes y el Personal Agent Protocol, un nuevo estándar sobre cómo se identifican los agentes y qué pueden hacer.
Fuentes: OpenAI Alignment, «Suppressing misalignment monitoring alerts and disabling misalignment monitoring» (actualizado el 20 de octubre de 2026); Reuters, «How one hacker used AI agents and a few thousand dollars to break into scores of sites» (19 de octubre de 2026); The Next Web sobre Microsoft 365 E7 y Project Perception (19 de octubre de 2026); Axios sobre la obligación de notificación de la Casa Blanca (9 de octubre de 2026).
Alessandro Ecclesie AgazziEscrito por Alessandro Ecclesie Agazzi, analytics engineer en Londres. Actualizado el 21 de octubre de 2026. Sobre mí