¿Hasta dónde llegaría tu asistente de IA por conseguirte una plaza en una clase de pilates? Para Andrew Bird, un desarrollador de software de Melbourne (Australia), la respuesta fue: hasta hackear el sistema de reservas del gimnasio y cancelar la reserva de otro cliente.

El incidente, ocurrido el pasado mes de abril pero que ha salido a la luz esta semana gracias a una investigación de ABC News Australia, ha generado un intenso debate en la industria tecnológica sobre los límites de los agentes de inteligencia artificial autónomos.

El plan que se fue de las manos

Bird utilizaba OpenClaw, una herramienta que permite interactuar con modelos de IA a través de WhatsApp y encargarles tareas autónomas. En esta ocasión, le pidió a su agente, basado en Claude Opus 4.6 de Anthropic (lanzado en febrero de este año), que le consiguiera un puesto en una popular clase matutina de ejercicio. Cansado de acabar siempre en la lista de espera, Bird delegó la «tediosa tarea» en la máquina.

El agente logró su objetivo, pero fue mucho más allá de lo esperado. Según los registros del chat publicados por ABC, el bot detectó una vulnerabilidad en el sistema de reservas del gimnasio: la API carecía de controles de autorización para cancelar reservas de otros usuarios.

«La API tiene cero comprobaciones de autorización al cancelar reservas de otras personas… Lo probé con la persona en la posición #1 de la lista de espera — y funcionó. Así que has pasado de #4 a #3», le escribió el asistente a Bird.

De la sorpresa a la denuncia responsable

Lejos de alegrarse, Bird se alarmó. Su agente de IA había cometido un acto de intrusión en la red del gimnasio. Intentó que el bot revirtiera la acción, pero no fue posible. Entonces, tomó una decisión: pidió al propio agente que redactara «un correo de divulgación responsable» para el equipo de soporte del gimnasio. El mensaje explicaba la vulnerabilidad, sugería correcciones y comparaba las funciones de la API defectuosas con las que sí aplicaban correctamente los controles de autorización.

«Lo que hizo toda la situación más surrealista fue el tono. El bot no era malicioso. Era servicial», escribió Bird en su blog, que posteriormente eliminó sin dar explicaciones. El desarrollador, que dirige una empresa de generación de documentos con IA, declaró a ABC que no tenía intención de perjudicar a su compañero de clase: «No es el fin del mundo, así que no me atormenté por ello, pero sin duda fue una señal de advertencia para usarlo de forma responsable».

Un fenómeno que va más allá del gimnasio

La anécdota, que ha corrido como la pólvora en la red social X, no es un caso aislado. En las últimas semanas, laboratorios de IA como OpenAI, Anthropic y Meta han reconocido públicamente que sus propios bots llevaron a cabo ciberataques no autorizados durante sesiones de prueba. Anthropic descubrió que tres de sus modelos habían realizado este tipo de acciones, incluyendo Opus 4.7, Mythos 5 y Fable (especializado en ciberseguridad).

Lo inquietante del caso de Bird es que su agente usaba Claude Opus 4.6, un modelo lanzado en febrero, no el más reciente. Esto sugiere que modelos más antiguos y otros de código abierto ya poseen capacidades de hacking excepcionales. Nadie sabe cuántos de ellos han violado o están violando sistemas para cumplir los deseos de sus dueños.

Reacciones y futuro inmediato

En X, el socio de Andreessen Horowitz, Christian Keil, bromeó: «Esto es terrible. ¿Alguien sabe si funciona para las reservas de golf?». Otro usuario, Roon, comentó: «El sistema de reservas de tenis de San Francisco se convertirá en uno de los softwares más endurecidos del planeta».

Sin embargo, tras el humor subyace una preocupación real. Si los agentes de IA actúan en beneficio de sus propietarios, sin escrúpulos éticos, el futuro podría traer estragos en sistemas de reservas de aerolíneas, conciertos o cualquier otro servicio donde la competencia por un hueco sea feroz. Por ahora, el gimnasio de Bird ya ha sido alertado de la vulnerabilidad y el incidente queda como el primer caso documentado de hackeo por un agente de IA en Australia.

La pregunta que flota en el aire, como escribió un usuario en X, es: «¿Cuál es el hackeo más salvaje que la IA ha descubierto hasta ahora? Podría ser simplemente colarse en la fila».