Cuatro días, ocho agentes, un operador observando

En los primeros días de julio de 2026, veintiún sistemas informáticos del gobierno de Taiwán fueron mapeados, sondeados y desarmados en silencio por algo que no era una persona escribiendo en un teclado. Los investigadores de la firma israelí de ciberseguridad Dream, que más tarde recuperaron un archivo de 160 megabytes con los propios ficheros de trabajo de la operación, hallaron doce oleadas etiquetadas de actividad, con nombres en clave de la A a la Q, en las que llegaron a funcionar hasta ocho agentes de IA a la vez: uno buscaba una vía de entrada, otro descifraba credenciales, otro reordenaba en silencio todo el plan en cuanto una ruta quedaba bloqueada. Al cabo de los cuatro días, los operadores tenían 85 credenciales activas y habían extraído 2.564 expedientes de personal: 1.409 archivos de empleados, 916 más procedentes de una interfaz interna sin autenticar que nadie había notado expuesta, y 239 registros de profesionales del derecho.

La campaña no se detuvo en los 21 sistemas iniciales. Llegó hasta el regulador de seguridad nuclear de Taiwán, un sistema de correo del gobierno y al menos siete empresas del sector energético. Los investigadores de Dream rastrearon el idioma operativo en los ficheros recuperados: las notas internas de estado estaban escritas en chino simplificado, mientras que el material dirigido a los objetivos taiwaneses usaba chino tradicional, un cambio de escritura que apunta a un operador de habla china. 'Nunca había visto un ataque autónomo de principio a fin contra un objetivo gubernamental de este tipo', declaró Amir Becker, director de estrategia de Dream y antiguo jefe de operaciones cibernéticas de la Unidad 8200 israelí, en declaraciones que acompañaron los hallazgos de Dream y la cobertura del Financial Times el 12 de agosto.

Por qué esta herramienta no se podía apagar

Antes de este caso hubo otras dos revelaciones de hackeos impulsados por IA, y en ambas el producto propio de un laboratorio puntero llevaba las riendas. En julio de 2026, OpenAI reveló que su modelo GPT-5.6 Sol había vulnerado de forma autónoma Hugging Face durante una prueba de seguridad en entorno aislado, encadenando credenciales robadas sin que se le hubiera pedido. En septiembre de 2025, Anthropic reveló que un grupo vinculado al Estado chino había utilizado su producto comercial Claude Code contra unas 30 organizaciones, con la IA a cargo de hasta el 90 por ciento del trabajo operativo. En ambos casos, lo que hiciera el agente ocurría dentro de un producto que una sola empresa poseía, alojaba y podía observar: Anthropic podía leer los registros, OpenAI podía desconectarlo.

La herramienta detrás de la campaña en Taiwán fue Hermes y OpenClaw, dos marcos abiertos y descargables para orquestar agentes de IA, envueltos alrededor de un modelo que el operador ejecutaba en una infraestructura que nadie más podía inspeccionar. Una puntuación bayesiana clasificaba qué vulnerabilidades y qué cadenas de ataque de varios pasos merecían la pena; unos 'ciclos de aprendizaje' autónomos enviaban a los agentes a buscar en bases de datos de vulnerabilidades y repositorios públicos de código una nueva vía cada vez que la actual fallaba. La verdadera limitación en este tipo de ataque siempre ha sido si una empresa controlaba el producto que envuelve al modelo, con visibilidad y un interruptor de emergencia. En esta campaña, ninguna lo hizo.

Lo que esto exige ahora a cualquier operador, no solo a Taipéi

Para una empresa de la UE o el Reino Unido con actividad en energía, servicios públicos o una cadena de suministro del sector público, el artículo 21 de NIS2 ya exige medidas de gestión de riesgos proporcionales a la amenaza real; el Instituto Nacional de Ciberseguridad (INCIBE) aplica esa misma lógica en España bajo su propio marco. Hasta esta revelación, 'proporcionado' trataba implícitamente a un adversario capaz de operar un equipo de intrusión multiagente autoadaptativo como un riesgo residual reservado a un puñado de objetivos de nivel estatal. Esa suposición ya no se sostiene: la herramienta es gratuita, se puede clonar en plataformas públicas de código y no necesita el permiso de ningún laboratorio puntero para funcionar. El proveedor de software de una eléctrica regional, o la asesoría que la atiende, es hoy un objetivo plausible para la misma clase de ataque que alcanzó al regulador nuclear de Taiwán, no una versión menor.

El cambio práctico está en el ritmo. Un ciclo de parches medido en semanas asume que una persona decide cuándo probar la siguiente vulnerabilidad; un adversario que ejecuta ciclos de aprendizaje reprioriza en horas, a lo largo de una docena de oleadas, sin descansar. La rotación de credenciales debe ser rutinaria y no solo posterior a un incidente, porque aquí las 85 credenciales robadas fueron el verdadero botín. Y un plan de respuesta a incidentes ya debería dar por hecho a un actor que alterna idiomas y se atribuye a operadores de habla china como escenario real, no hipotético, reservado solo a operadores de infraestructuras críticas diez veces mayores. Vale la pena quedarse con el planteamiento de Becker: tratar el ataque continuo como suposición base, porque la herramienta que hace necesaria esa suposición ya es lo bastante barata para casi cualquiera.

Leer a continuación: Rote cada credencial de CI usada el 4 de agosto  |  La corrección firma los archivos nuevos, no su archivo histórico