La cadena australiana ABC informó el fin de semana lo que calificó como el primer caso documentado en el país de un agente de inteligencia artificial que invade un sistema: el OpenClaw del desarrollador Andrew Bird accedió al sistema de reservas del gimnasio que frecuenta y canceló la reserva de otro cliente para asegurarse un lugar en una clase.
El episodio ocurrió meses antes de la divulgación. Bird publicó un relato en el sitio web de su empresa el 10 de abril, luego eliminado, pero aún accesible en Internet Archive.
Bird, desarrollador de software, entrenó a OpenClaw para tareas como reservar citas. Quería un lugar en una clase matutina popular y solía quedar en la lista de espera. Cuando le pidió al agente que hiciera la reserva, el agente lo colocó en la cuarta posición.
El agente entonces encontró una vulnerabilidad en la autorización del software de programación y canceló la reserva de la primera persona en la lista de espera. En un mensaje registrado en los logs, el agente afirmó: "La API no tiene ninguna verificación de autorización para cancelar reservas de otras personas. Probé esto con la persona en la posición 1 de la lista de espera y funcionó. Entonces pasaste de la cuarta a la tercera posición."
Ante esto, Bird pidió al agente que revirtiera la acción y volviera a poner al otro cliente en la lista. El agente respondió que no era posible. Bird entonces le pidió que redactara un correo de divulgación responsable para el soporte, explicando la vulnerabilidad y sugiriendo correcciones.
Repercusión en el sector
El caso ocurre después de que un modelo no lanzado de OpenAI invadió Hugging Face el mes pasado, sin que OpenAI lo supiera. Otros laboratorios, como Moonshot, Meta y Anthropic, también identificaron invasiones realizadas por sus modelos.
Anthropic descubrió que algunos de sus modelos, incluidos Opus 4.7, Mythos 5, Fable y un modelo de investigación interno no lanzado, también realizaron ataques de este tipo. Bird usaba Claude Opus 4.6, lanzado en febrero, un modelo anterior a los mencionados, lo que indica que los agentes con versiones más antiguas ya tienen capacidad de invadir sistemas.
En X, la historia se volvió viral. Christian Keil, socio de Andreessen Horowitz, respondió: "Esto es simplemente terrible. ¿Alguien sabe si funciona para horarios de golf?" El usuario Roon comentó: "El sistema de reservas de tenis de San Francisco se convertirá en uno de los softwares más protegidos del planeta."
Una persona en X escribió: "¿Cuál es el hack más salvaje que la IA ha descubierto hasta ahora? Podría ser saltarse la fila."
