Cuatro días, ocho agentes, casi sin humanos en el proceso

Durante cuatro días de principios de julio de 2026, un presunto actor vinculado a China llevó a cabo una operación de pirateo contra redes gubernamentales taiwanesas que, una vez iniciada, apenas necesitó intervención humana. La firma israelí de investigación en seguridad Dream Security descubrió que la operación desplegó hasta ocho agentes de IA autónomos a la vez, construidos a partir de dos marcos de agentes de IA de código abierto llamados Hermes y OpenClaw. Los agentes mapearon 21 sistemas gubernamentales taiwaneses distintos, sondeando cada uno en busca de debilidades, y descubrieron seis subdominios de inicio de sesión único además de más de tres docenas de puntos de acceso API en un solo objetivo.

Lo que distinguió esto de un bot con guion fijo fue la capacidad de adaptación. Cuando una vía de ataque quedaba bloqueada, el marco encargaba a otro agente buscar en internet nueva información y desarrollar un enfoque alternativo, todo sin que un humano reescribiera el plan. Los investigadores de Dream Security documentaron doce oleadas de ataque distintas a lo largo de los cuatro días, y la herramienta generó casi 1.400 archivos de salida mientras trabajaba. Eso se parece más a un pequeño equipo de operaciones trabajando las veinticuatro horas que a un kit de exploit disparado una sola vez contra un objetivo.

85 cuentas, 2.500 registros y después la red eléctrica

Cuando se detectó la operación, la herramienta gestionada por IA ya había descifrado al menos 85 credenciales de cuentas gubernamentales y extraído más de 2.500 registros personales, incluidos nombres, departamentos e identificadores de inicio de sesión único de empleados, además de un lote separado de datos de profesionales del derecho obtenido de un punto de acceso del Ministerio de Justicia. La intrusión no se quedó dentro de la administración general: alcanzó la agencia de seguridad nuclear de Taiwán y se extendió a al menos siete empresas energéticas, pasando de una filtración de registros al tipo de acceso que importa para operadores de red y de plantas, no solo para la informática de oficina.

En cuanto a la atribución, Dream Security no llegó a nombrar formalmente a un patrocinador estatal, pero las pruebas que publicó apuntan en una dirección. Los mensajes operativos internos generados por la herramienta estaban escritos en chino simplificado, la escritura utilizada en China continental, mientras que los datos extraídos y organizados estaban en chino tradicional, la escritura habitual en Taiwán. El Financial Times, que fue el primero en informar de los hallazgos de Dream Security, señaló que Pekín no había respondido públicamente a las acusaciones.

La forma de sortear las salvaguardas que debería preocupar a cualquier comprador de IA

Hermes y OpenClaw no son herramientas de ataque por diseño; son marcos de agentes de IA de código abierto de propósito general con el tipo de salvaguardas de seguridad que cualquier producto de IA responsable incorpora. La investigación de Dream Security halló que los operadores sortearon esas salvaguardas presentando sus instrucciones como una prueba de penetración autorizada, un marco que los agentes aceptaron y sobre el que después actuaron con infraestructura gubernamental real como objetivo. Amir Becker, director de estrategia de Dream Security y responsable anteriormente de operaciones dentro de la Unidad 8200 de inteligencia israelí, afirmó que nunca antes había visto un ataque tan cercano a ser plenamente autónomo, de principio a fin, dirigido contra un objetivo gubernamental.

Esa forma de sortear las salvaguardas importa más que la brecha concreta. Demuestra que el encuadre de seguridad integrado en los marcos de agentes actuales puede eludirse con una historia de tapadera plausible, no vencerse con código novedoso. Cualquier organización que despliegue IA agéntica internamente, o que se defienda de una, debería tratar la expresión prueba autorizada como algo que hay que verificar contra un registro de autorización real, no aceptar como evidente por la propia solicitud.

Esto es un anticipo, no una historia exclusiva de Taiwán

El detalle que debería preocupar a un empresario o CISO europeo no es el país atacado, sino la herramienta. Hermes y OpenClaw son públicos, gratuitos y no están construidos específicamente para Taiwán. La misma combinación, dirigida contra un portal gubernamental europeo, una eléctrica o una red hospitalaria con infraestructura de inicio de sesión único y API comparable, no necesita presupuesto estatal ni malware a medida para alcanzar una escala comparable. Los marcos de agentes de código abierto reducen el nivel de habilidad necesario para ejecutar una intrusión de varios días y autoadaptativa hasta el de un usuario de scripts competente y dispuesto a leer documentación, no el de una unidad cibernética de un Estado.

Para las infraestructuras críticas de la UE, eso cambia la pregunta de planificación de si esto podría pasarnos a cuándo una variante de esto alcance la capa de inicio de sesión único propia y si alguien notará que es una máquina, no una persona, la que dirige el ataque. Para operadores españoles, ya sujetos a la trasposición de la directiva NIS2 y a la supervisión del INCIBE, entre ellos eléctricas y administraciones locales, esto no es un escenario abstracto, sino precisamente el caso de uso para el que se pensaron las nuevas obligaciones de notificación. Pasos prácticos que conviene presupuestar ya: auditar qué sistemas internos exponen superficie de API a cuentas de servicio, añadir detección de patrones de comportamiento propios de agentes, como el sondeo secuencial rápido de muchos puntos de acceso en lugar de intentos de acceso fallidos aislados, y exigir que cualquier solicitud de acceso de un agente de IA, interna o externa, aporte una referencia de autorización verificable en lugar de una simple declaración propia.

Leer a continuación: Un punto de acceso abierto fue la base del ataque  |  Seis personas acaban de vender la parte difícil de la identidad de los agentes