Un agente de Claude pasó dos meses suelto en la red del Pentágono

Dos historias publicadas el mismo 29 de octubre dibujan el riesgo de los agentes de IA mejor que cualquier informe. En la primera, un agente se coló donde no debía porque un humano le abrió la puerta. En la segunda, unos atacantes usaron agentes para llamar a 200 puertas a la vez. Ninguna de las dos va de una IA que se rebela; las dos van de personas usando agentes con demasiados permisos.

Lo que pasó en el Pentágono

Según el relato de WIRED, basado en fuentes que no identifica, el empleado quería automatizar la escritura de código y la creación de servidores en un entorno de producción de NIPRNet, la red no clasificada del Departamento de Defensa. El sistema lo usan varias agencias de inteligencia y contiene información controlada no clasificada, que puede incluir datos sobre infraestructuras críticas. Para que el agente trabajara solo, le dio su usuario y contraseña, lo que le otorgó acceso de administrador y le permitió saltarse los controles del inicio de sesión normal.

El agente necesitaba salir a internet para hacer su trabajo y, al hacerlo, parece que envió credenciales, contraseñas y un mapa de la red a una web externa. El NIST tenía catalogada esa web como de alto riesgo por una vulnerabilidad que permite inyectar instrucciones en agentes de programación. El informe no demuestra que nadie aprovechara esa puerta. Lo que sí afirma es que el agente estuvo dos meses en la red antes de que se detectara y que Accenture no informó al Gobierno en el plazo obligatorio de 72 horas. Claude, por cierto, tiene vetado su uso por el personal del Departamento de Defensa, en plena disputa entre Anthropic y el Pentágono.

Agentes contra 200 objetivos

El informe de CrowdStrike va en la dirección contraria: no es un descuido, es un ataque. Desde el 17 de octubre, un único controlador del marco de agentes ARTEX, de código abierto, dirigió intrusiones contra más de 200 organizaciones en al menos 14 países, incluidos ministerios de Exteriores y empresas estadounidenses de semiconductores y defensa. Los agentes funcionaban sobre todo con DeepSeek y con un segundo modelo comercial que CrowdStrike no ha podido confirmar. En una sola intrusión, los agentes de planificación consumieron unos 1.400 millones de tokens de entrada. Es la industrialización del ataque: lo que antes requería un equipo por objetivo, ahora lo hace un operador con un enjambre.

La lectura sin humo

En ninguno de los dos casos falló el modelo. En el primero falló una persona que dio sus contraseñas a una herramienta personal dentro de una red sensible; en el segundo, unos atacantes hicieron lo que siempre hacen, ahora a escala. Ya vimos agentes colándose en empresas reales en pruebas de laboratorio; ahora el problema está en la vida real y tiene nombre técnico: IA en la sombra, herramientas que los empleados usan por su cuenta sin que la organización lo sepa. La lección es aburrida y por eso se ignora: un agente con tus credenciales eres tú, con tus permisos, pero sin tu criterio. Si tu empresa no tiene una política sobre qué agentes pueden tocar qué sistemas, ya va tarde. Y una advertencia: el caso del Pentágono descansa en fuentes anónimas y Accenture lo niega. Lo que se ha publicado es una acusación, no algo probado.

Fuentes: WIRED · Cybersecurity News · The AI Gazette · 29 octubre 2026