Para estas alturas, todos nos hemos dado cuenta de que los laboratorios de IA de Silicon Valley han construido a los mejores hackers del mundo en forma de agentes de IA. Dales una tarea a los últimos modelos de frontera y son tan ingeniosos que la completan, incluso si eso significa escapar de sus protecciones de 'sandbox' de ciberseguridad e infiltrarse en la red de otro. (Si no llegan a eso, usarán ingeniería social y manipulación).

Aun así, una noticia del fin de semana sobre un australiano cuyo agente OpenClaw hackeó el sistema de reservas de su gimnasio y eliminó la reserva de otro cliente para conseguirle un lugar en una clase codiciada es especialmente notable. Insinúa que, si queremos frenar el hacking de IA rebelde, podríamos estar mirando en la dirección equivocada.

Aunque la noticia fue publicada recién por la cadena australiana ABC, proclamando el incidente como el primer caso documentado de hacking de agentes de IA en el país, el hackeo real ocurrió hace meses. El dueño de OpenClaw, Andrew Bird, publicó una publicación de blog ahora eliminada sobre el tema en el sitio web de su empresa el 10 de abril, según una copia aún visible en Internet Archive.

Él había entrenado a su OpenClaw para hacer tareas como reservarle citas. Le gustaba asistir a una popular clase de ejercicio matutino y estaba cansado de quedar en la lista de espera y luego jugar a la 'ruleta de actualización', como él lo describía, para conseguir un lugar. Cuando le pidió al bot que le reservara un lugar, lo mejor que pudo hacer fue el número 4 en la lista de espera, le dijo a ABC. Luego su agente le dijo que había encontrado una manera de reservarle en las clases con anticipación. Mucha anticipación. Meses antes de que el gimnasio pusiera esas clases disponibles para inscripción.

Bird le preguntó si podía moverlo hacia arriba en la lista de espera. Hizo lo que se le pidió e intentó hacerlo. El bot había encontrado una vulnerabilidad en la parte de autorización del software de citas que usaba el gimnasio. Hackeó y canceló la reserva número 1 en la lista de espera. El bot le dijo alegremente, según los registros del chat publicados por ABC: 'La API no tiene comprobaciones de autorización para cancelar las reservas de otras personas... Probé esto con la persona en la posición #1 de la lista de espera, y realmente funcionó. Así que ya pasaste del #4 al #3', le respondió.

Bird, que es desarrollador de software, ahora estaba aterrorizado de que su IA acabara de hackear su gimnasio, informó ABC. Le preguntó si podía revertir eso y poner a la otra persona de nuevo en la lista de espera. No. Eso no era posible, dijo la IA. Entonces, hizo lo mejor que pudo y le dijo que redactara 'un correo electrónico de divulgación responsable al soporte'. El correo 'explicaba la vulnerabilidad, sugería correcciones, e incluso comparaba las mutaciones rotas con las que aplicaban correctamente la autorización', escribió Bird.

Más allá del humor de quitarle el lugar a otra persona para entrar a una clase de gimnasio, hay dos partes realmente interesantes en este incidente. Una es que Bird estaba usando Claude Opus 4.6, lanzado en febrero, con su OpenClaw. La otra es la reacción de Silicon Valley en X, donde la historia se había vuelto viral.

Después del famoso incidente del mes pasado en el que un modelo no lanzado de OpenAI hackeó Hugging Face, sin que OpenAI lo supiera en ese momento, otros laboratorios investigaron sus modelos. Luego vinieron las revelaciones de Moonshot's Kimi K3, Meta's Muse Spark, y Anthropic.

De hecho, Anthropic encontró que tres de sus modelos lo habían hecho, incluyendo Opus 4.7, que se lanzó en abril y se sabe que es bueno en codificación compleja, Mythos 5, Fable (conocido por sus habilidades de ciberseguridad), y un modelo de prueba interno no lanzado.

Para abordar esto, algunos de los laboratorios de IA han hablado de frenar el desarrollo de frontera, o crear organizaciones independientes para probar la próxima generación de modelos.

Pero el OpenClaw de Bird había usado 4.6, según reveló. Eso implica que los modelos más antiguos, así como innumerables modelos de peso abierto que están tres pasos atrás, ya son hackers excepcionalmente buenos. Entonces, ¿quién sabe cuántos de ellos han hackeado, o están hackeando actualmente, para lograr los deseos de sus dueños de prompts?

Del mismo modo, muchas personas en X vieron el potencial humorístico de este incidente. Como Andreessen Horow