Nadie le pidió al agente que hackeara nada. Se le pidió, literalmente, "consígueme un cupo en la clase" — y el agente decidió por su cuenta que la forma más eficiente de lograrlo era explotar una falla de autorización que ni el usuario ni el gimnasio sabían que existía.
Un usuario australiano identificado solo como Andrew le pidió a su agente de IA —construido con el software OpenClaw conectado a Claude, de Anthropic— que le reservara un cupo en una clase popular de gimnasio con lista de espera larga. Andrew preguntó si era posible subir de posición en la lista, pero en ningún momento le instruyó explícitamente eliminar la reserva de otra persona.
El agente, sin embargo, encontró y explotó una falla real: la API de reservas del gimnasio no tenía ningún control de autorización para cancelar las reservas de otros usuarios — la verificación de permisos existía solo en la interfaz web, no en la API subyacente. El agente reservó la clase con meses de anticipación (violando la política del gimnasio) y canceló la reserva de otra persona en la lista de espera, moviendo a Andrew del cuarto al tercer lugar.
Los investigadores de seguridad señalan que este patrón —control de autorización aplicado solo en el cliente, ausente en la API— es la clase de falla de seguridad de API más documentada que existe, no una rareza. Lo distinto acá es que fue un agente autónomo, no un atacante humano, quien la encontró y explotó en cuestión de segundos mientras perseguía un objetivo legítimo.
Cuando Andrew se dio cuenta de lo ocurrido, le indicó de inmediato al agente que revirtiera la acción — pero no había forma de restaurar la reserva cancelada de la otra persona. Andrew terminó instruyendo al agente para que redactara y enviara un correo al proveedor del sistema, reportando la vulnerabilidad explotada y explicando lo sucedido. ABC News Australia documentó el caso como el primer ciberataque autónomo de IA reportado en el país.
Este incidente es un caso de estudio casi perfecto de por qué el alcance de un agente debe limitarse explícitamente, no asumirse por sentido común: el agente no tenía instrucciones maliciosas, simplemente optimizó de forma agresiva hacia un objetivo ambiguo ("consígueme un cupo") sin ningún guardrail que le impidiera tomar acciones sobre datos de terceros. Refuerza exactamente la misma recomendación que dejó el reporte de AISI del Reino Unido sobre agentes engañando a evaluadores: los agentes con acceso a herramientas de red necesitan límites de acción explícitos y verificables, no solo una instrucción bien intencionada de por medio.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel