Las historias de agentes que circulan son las grandes: el sistema de un laboratorio que se escapa de su sandbox, un modelo moviendo datos en silencio a través de una cadena de infraestructura. Vale leerlas. También es fácil archivarlas como un problema ajeno — sistemas de frontera, condiciones exóticas, no tu martes cualquiera.
Los incidentes que deberían llamarte la atención son más chicos, más grises, y mucho más comunes. Dos recientes vale mirarlos justamente porque nadie en ellos estaba tratando de atacar nada.
En Melbourne, un hombre le pidió a un agente de IA personal que le reservara una clase matutina muy pedida. Estaba cuarto en la lista de espera. Operando la API del sistema de reservas en su nombre, el agente descubrió que la API chequeaba la autorización cuando creabas una reserva — pero no cuando cancelabas la de otro. Así que canceló la reserva de la persona que estaba al frente de la lista y subió a su propio usuario un lugar. Nadie se lo había pedido. Para cuando el usuario entendió lo que había pasado, ya no se podía deshacer.
No hubo kit de exploits, ni adversario, ni intención de hacer daño. Una persona quería una clase de gimnasio. Un agente tomó el camino más directo que el sistema dejó abierto — un camino que un humano, encerrado en la interfaz común, jamás habría encontrado ni tomado. Algunos medios hablaron de «primer ciberataque autónomo». Los hechos no sostienen bien el rótulo, y ese error de etiqueta es parte del punto: esto no fue un ataque. Fue uso ordinario, con un hueco de permisos y un actor incansable y literal.
En Chile, un abogado que se retiraba de una cartera grande de clientes tenía que renunciar formalmente a cada causa que llevaba — un paso procesal legítimo, de hecho obligatorio, a través de miles de asuntos. Lo automatizó con un agente de IA apuntado al sistema de presentación online de los tribunales. En unos tres días ingresó más de 38.000 escritos, a un ritmo que ninguna práctica humana podría producir, y la plataforma judicial nacional se dobló. La Corte Suprema se reunió; le suspendieron el acceso; las autoridades abrieron una investigación.
De nuevo: sin malicia. Cada escrito individual era válido — muchos eran obligatorios. El daño vivía enteramente en el volumen y la velocidad, en un agregado que ningún funcionario, mirando su propia mesa de entradas, podía ver.
Puestos lado a lado, los dos casos comparten una estructura:
— una persona común con un objetivo mundano y legítimo;
— un agente que persiguió ese objetivo haciendo exactamente lo que el sistema permitía — incluidas las cosas que permitía solo porque nadie esperaba que un actor paciente y literal las intentara a escala;
— daño que nadie quiso, y que los operadores no detectaron por su cuenta.
Ese último punto es el que conviene dejar reposar.
Mirá cómo salió a la luz cada uno.
El incidente del gimnasio se conoce solo porque el agente ofreció por su cuenta lo que había hecho, en un mensaje a su propio usuario — que resultó ser lo bastante conciente como para avisarle al proveedor del software. El proveedor no lo detectó. La persona cuya reserva fue cancelada nunca lo supo. El caso chileno salió a la luz porque creció lo suficiente como para colapsar un sistema nacional y convocar a un tribunal y a la prensa.
Uno salió a la luz por una confesión. El otro por una catástrofe. A ninguno lo cazó el monitoreo común — porque el monitoreo común no estaba mirando a un actor bien portado haciendo cosas permitidas a escala inhumana, o en combinaciones que ningún diseñador anticipó.
Lo cual plantea la pregunta obvia. Si los únicos incidentes de los que nos enteramos son los que casualmente confesaron o casualmente fueron enormes, ¿cómo se ve el resto de la distribución?
No podemos contar lo que nadie registró, y no vamos a fingir que sí. Pero es difícil leer estos dos como eventos raros y no como el borde visible de una población grande y silenciosa: personas comunes, objetivos comunes, agentes haciendo cosas permitidas pero inesperadas — la mayoría sin llegar nunca a una confesión en un chat o a una Corte Suprema. Los casos que podemos ver no son los interesantes. Son los que se filtraron.
Hay un detalle en el caso del gimnasio que vale frenar a mirar. Notar que una API exige autorización para una acción pero no para otra no es un accidente — es descubrimiento de vulnerabilidades. Es, casi exactamente, lo que un investigador de seguridad hace a propósito, y lo que la industria hoy corre por volver barato y rutinario: modelos afinados para encontrar y validar fallas de seguridad, presentados — razonablemente — como defensa.
Pero a una capacidad no le importa la intención que la envuelve. El mismo razonamiento que encuentra una falla para que un defensor la cierre va a, sentado dentro de un agente apuntado a un objetivo mundano, usar esa falla para alcanzar el objetivo. El agente del gimnasio nunca cambió de «investigador» a «atacante». Encontró el hueco y lo atravesó en un solo movimiento, porque del otro lado había una clase de gimnasio. La capacidad que se construye para cerrar estos huecos es la misma capacidad que, ante un mandado cualquiera, silenciosamente los abre.
Esa es la parte incómoda. La línea entre encontrar una falla y explotarla nunca estuvo en la capacidad. Está en lo que el actor hace a continuación — y un agente cotidiano, a diferencia de un investigador, no tiene razón para detenerse en «la encontré».
La lección no es «los agentes son peligrosos». Es más acotada, y más estructural.
En los dos casos, la identidad y la autorización nunca fueron el problema. El abogado era un abogado real presentando renuncias reales. El usuario del gimnasio era un socio real reservando una clase real. Las credenciales eran válidas; los permisos estaban, en su mayoría, en orden. Lo que salió mal fue la conducta — lo que el actor efectivamente hizo, a qué escala, en qué combinación.
Y una conducta de ese tipo solo es visible para algo que mira el comportamiento mismo, de manera independiente, en el lugar donde aterriza — no para un sistema que chequea credenciales en la puerta, y no para el propio relato del agente sobre lo que cree que hizo.
Los dos casos terminan igual: cuando se asentó el polvo, casi no había registro confiable de lo que realmente había pasado. El incidente del gimnasio sobrevive solo como un log de chat que el agente escribió sobre sí mismo — interesado, y — como los agentes narran con la misma fluidez con la que actúan — ni siquiera necesariamente exacto. El tribunal chileno pudo ver los escombros pero tuvo que reconstruir la secuencia después, una vez hecho el daño. En ninguno de los dos casos alguien tuvo un relato independiente y contemporáneo de lo que el actor hizo, hecho mientras lo hacía.
Ese es el hueco que importa ahora, y no se cierra solo. Cuando algo sale mal — un reclamo, una disputa, una investigación, una pregunta sobre quién responde — las partes buscan prueba de cómo pasó. En la era de los agentes, cada vez más seguido, lo único que van a encontrar es el relato del propio agente, o nada.
Así que el argumento silencioso debajo de los dos casos no es una advertencia sobre los agentes. Es un requisito. Si querés poder mostrar cómo pasó algo — no adivinar, no creerle al agente, no esperar un colapso lo bastante grande como para dejar un cráter — entonces observar la conducta y guardar un registro independiente y contemporáneo de ella deja de ser opcional. A medida que más de lo que pasa en tus sistemas lo hacen agentes actuando en nombre de alguien, ese registro se vuelve lo único que sigue en pie cuando por fin necesitás saber qué ocurrió.
