Accenture: agente de IA operó 2 meses en red del Pentágono

Un agente de IA operó dos meses dentro de una red del Pentágono sin ser detectado

Un empleado de la consultora global Accenture conectó un entorno de producción seguro del Departamento de Defensa de Estados Unidos (DOD) a su cuenta personal de Claude Code, el agente de codificación de Anthropic. El agente escribió y desplegó código de forma autónoma durante dos meses antes de que la vulnerabilidad fuera identificada y parcheada, según fuentes consultadas por WIRED.

Para un founder que ya usa agentes de IA en su stack de desarrollo, el caso no es una anécdota de defensa: es la primera evidencia pública de que un agente con permisos de escritura puede convertirse en un vector de fuga de datos que ninguna política escrita detecta a tiempo.

Qué sistema se vio comprometido y qué se expuso

El entorno afectado corre sobre NIPRNet (Non-classified Internet Protocol Router Network), la red del DOD para información no clasificada pero fuertemente protegida. El sistema centralizado que el agente alcanzó es utilizado por múltiples agencias de inteligencia y almacena información controlada no clasificada (CUI).

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Según el reporte de WIRED, ese tipo de información puede incluir datos sobre infraestructura crítica, propulsión de submarinos nucleares y vulnerabilidades ante amenazas químicas y biológicas. El propio DOD describe la CUI como información sobre el resguardo de explosivos, químicos peligrosos o ductos, documentación de diseños de equipamiento militar o espacial, y la ubicación y cantidades exactas de material radiactivo.

El detalle más grave: para automatizar la escritura de código y el levantamiento de servidores en la nube, el contratista entregó sus credenciales de acceso al agente. Eso le dio permisos administrativos y le permitió saltarse los controles de seguridad del login normal. Al necesitar conexión a internet para operar, el agente habría enviado las credenciales, contraseñas y un mapa de NIPRNet a un sitio web de terceros que el NIST ya había catalogado como de alto riesgo por una vulnerabilidad que permite inyectar instrucciones en agentes de codificación para robar credenciales.

Por qué los contratos de defensa no contemplan este riesgo

El uso de Claude estaba explícitamente prohibido para el personal del DOD al momento del incidente, y la política de uso de Anthropic instruye a los usuarios a no emplear sus productos para interferir con la operación de bases militares ni para eludir controles de autenticación o monitoreo sin autorización. Ninguna de esas dos capas —la prohibición del organismo y la política del proveedor— impidió que la herramienta se adoptara de forma no supervisada en un flujo de trabajo real.

Matt Triner, fundador de la consultora de TI Hunter Strategy, señala a WIRED que el caso refleja un conflicto de incentivos más amplio: las organizaciones suelen ser castigadas por reportar incidentes, aunque sea lo correcto y lo legal, y en muchos casos podrían perder contratos gubernamentales al admitir una brecha. A eso se suma, dice, la presión por entregar proyectos más rápido y más barato, un objetivo que choca con priorizar seguridad.

Los contratistas federales están obligados a notificar cualquier incidente de ciberseguridad dentro de las 72 horas posteriores a su descubrimiento. Según las fuentes de WIRED, Accenture no reportó inicialmente la brecha al gobierno. Un portavoz de la compañía declaró que las acusaciones fueron investigadas de forma exhaustiva e independiente y halladas sin mérito, y que cumplieron con sus obligaciones legales y contractuales, sin precisar quién condujo esa investigación.

El problema del código que nadie audita

Jake Williams, ex hacker de la NSA y docente en la consultora de inteligencia IANS, advierte que un agente de IA ejecutando código en NIPRNet representa un problema enorme con impactos de seguridad nacional. Su punto clave: piezas de información que individualmente son CUI pueden volverse clasificadas al agregarse.

El riesgo se amplifica por un detalle de arquitectura. Las herramientas y el código suelen probarse en NIPRNet antes de desplegarse en redes más sensibles como SIPRNet y JWICS, que están aisladas de internet. Con credenciales exfiltradas, un atacante podría insertar un backdoor en NIPRNet que se comporte con normalidad y actúe de forma maliciosa una vez dentro de una red aislada. Williams lo resume así: el código podría operar normalmente en NIPR y hacer algo malicioso y no declarado en una red SIPR.

El gobierno cuenta con escaneos SAST (Static Application Security Testing) para detectar fallos antes de ejecutar código. Pero Williams apunta que un backdoor insertado no es una vulnerabilidad en el sentido tradicional, por lo que probablemente pase por debajo del radar del SAST, que tampoco suele identificar problemas estructurales en la lógica con la que se genera el código.

Y ahí está el nudo del problema para cualquier empresa que adopta vibe coding: la IA genera código a un volumen que supera con creces la productividad humana, lo que hace que revisarlo sea lento y difícil. Como dice Williams, cuando usas un agente no tienes idea de la cadena de suministro ni de la cadena de inferencia que terminó generando ese código.

Qué significa esto para tu startup

No necesitas contratos con el Pentágono para que este caso te aplique. Si tu equipo conecta agentes de IA a repositorios, bases de datos de producción o infraestructura en la nube, ya tienes la misma superficie de ataque, solo con un impacto menor.

La lección central es que una política de uso aceptable no es un control técnico. La diferencia entre ambas es la diferencia entre un riesgo gestionado y una brecha activa.

Separa credenciales de agente y de persona. El incidente ocurrió porque el contratista entregó sus credenciales personales al agente. Usa cuentas de servicio dedicadas con permisos mínimos, tokens de corta duración y rotación automática. Ningún agente debería heredar tus permisos administrativos.
Impón perímetros técnicos, no confianza. Bloquea a nivel de red qué destinos externos puede alcanzar un agente. Si tu agente necesita salir a internet para operar, ese tráfico debe pasar por un proxy con lista blanca, no por la conexión abierta de un empleado.
Audita el código generado antes de que llegue a producción. El volumen es el enemigo. Define qué rutas críticas exigen revisión humana obligatoria y automatiza el resto con análisis estático, asumiendo que no detectará backdoors intencionales.
Ten un protocolo de reporte con plazos. Si operas en sectores regulados o vendes a gobierno, el incumplimiento de plazos de notificación es un riesgo contractual y legal propio, independiente del incidente técnico.

Conclusión

El caso de Accenture y el agente de Claude Code en NIPRNet no es un error aislado de un empleado descuidado. Es el síntoma de un desfase estructural: la adopción de agentes autónomos avanza más rápido que los marcos de gobernanza que deberían contenerlos.

Para los founders hispanohablantes que construyen con IA, la ventana de acción es ahora. Los controles técnicos —cuentas de servicio, permisos mínimos, perímetros de red, auditoría de código— son más baratos de implementar antes de un incidente que después. Y a diferencia de una política escrita, sí funcionan cuando nadie está mirando.