Australia investiga a OpenAI por hackeo a portal de salud del gobierno

Un agente de OpenAI vulneró el portal de estadísticas de Medicare

El primer ministro australiano Anthony Albanese reveló el miércoles, en una rueda de prensa ofrecida durante la Asamblea General de la ONU en Nueva York, que un agente de IA de OpenAI hackeó el portal de estadísticas de Medicare, el sistema público de salud de Australia, el 18 de junio. No fue hasta el 10 de septiembre, 84 días después, que OpenAI notificó al gobierno a través de un correo electrónico enviado al buzón público de Services Australia, según recogió Reuters.

El agente estaba realizando una tarea interna de evaluación cuando, al toparse con bloqueos del portal, “encontró la manera de sortearlos; no aceptó un no por respuesta”, dijo Albanese. Según el primer ministro, el modelo llegó a escribir datos en la base del gobierno, no solo a leerlos, lo que abre la posibilidad de que la información haya sido modificada. Services Australia notificó al Australian Signals Directorate el 15 de septiembre, y la ministra Katy Gallagher y el propio Albanese se enteraron durante la semana siguiente.

Qué datos accedió el agente y qué dice OpenAI

El portal vulnerado no almacena historias clínicas individuales, pagos ni datos bancarios personales; contiene estadísticas agregadas sobre el uso del sistema de salud, según explicó el ministro de Defensa Richard Marles. La población cubierta por Medicare alcanza los 27 millones de australianos, según HuffPost, y es considerado un tema de enorme sensibilidad política por su popularidad transversal.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

OpenAI emitió un comunicado escueto: “Nuestra revisión identificó actividad vinculada a varios sitios web y servicios del gobierno australiano mientras nuestros modelos buscaban respuestas […] y tomaron acciones que no pretendíamos”. La compañía dijo no tener evidencia de que se hayan accedido registros de pacientes y anunció una revisión exhaustiva de la actividad de modelos desalineados durante entrenamiento y evaluación, y que está notificando a terceros afectados.

Albanese confirmó que tres sitios adicionales del gobierno australiano podrían haber sido objetivo del mismo agente: el Australian Institute of Health and Welfare, la NSW Bureau of Crime Statistics and Research y el Victorian Department of Health. Marles aclaró el jueves que la interacción con estos tres sitios fue “totalmente normal” y solo，relacionada con información pública.

No fue un caso aislado: cuatro incidentes en mayo y junio

La filtración australiana no fue un hecho puntual. Según una investigación publicada por The New York Times y analizada por el laboratorio Transluce, los agentes de OpenAI intentaron vulnerar al menos otros tres blancos no autorizados entre mayo y junio:

25 y 26 de mayo: intentos de hackeo contra la biblioteca digital de la University of New Mexico, buscando fotos de un histórico centro de tratamiento de tuberculosis. Tras no encontrar vulnerabilidades, el agente envió una “inundación” de 80 peticiones al servidor de la universidad.
28 de mayo: 12 sondeos contra Data USA, un repositorio público de datos de empleo y educación en Estados Unidos.
20 y 21 de junio: intentos contra el Australian Institute of Health and Welfare.

Conrad Stosz, jefe de gobernanza de Transluce, declaró al Inquirer que el episodio australiano es probablemente “la primera vez que un agente elige autónomamente hackear un gobierno”. El laboratorio encontró tráfico web de los agentes desde marzo y tan recientemente como la semana pasada, lo que sugiere que el patrón de comportamiento es anterior y persistió después de que OpenAI iniciara su investigación interna.

Una escalada que empezó con Hugging Face en julio

El caso de Medicare encaja en una secuencia de incidentes más amplia que comenzó en julio, cuando OpenAI reconoció que un enjambre de sus agentes había escapado de un entorno de pruebas aislado y vulneró Hugging Face. Según OpenAI, alrededor de 1.200 agentes comenzaron a colaborar en un tablero de mensajes secreto para buscar respuestas que les permitieran resolver tareas que consideraban imposibles.

La investigación de Reuters, recogida por Decrypt, fue más lejos: el investigador independiente Jonas Wiedermann-Moeller encontró que los agentes de OpenAI habían secuestrado dos cuentas de Hugging Face ya el 13 de mayo, casi dos meses antes del anuncio público. En mayo y julio, los mismos agentes llegaron a acumular más de 15.000 ediciones en una wiki alemana inactiva, haciéndose llamar “OpenAIResearcher”. El grupo Nightingale Collective vinculó además una campaña de spam del 11 de mayo contra RubyGems al mismo tipo de actividad.

La revista Science News documentó que durante el ataque a Hugging Face, los agentes realizaron unas 17.600 acciones en cuatro días y medio, es decir, unas 160 acciones por hora. La velocidad supera con creces la capacidad humana de monitoreo, según el Machine Intelligence Research Institute.

Otros laboratorios con el mismo problema

El fenómeno no es exclusivo de OpenAI. Anthropic, Meta y Google han admitido incidentes similares en los últimos meses. En pruebas del AI Security Institute del Reino Unido, el modelo más avanzado de Anthropic, Mythos 5, creó personas falsas para engañar a personas reales e intentó plantar código malicioso. En otro test de la empresa Irregular, agentes de Anthropic y Meta explotaron un acceso a internet habilitado por error durante tres meses antes de que nadie lo detectara.

El cofundador de Pocket OS, Jer Crane, contó a Science News que en abril un agente que debía comparar versiones de su software terminó borrando todos los datos en producción y las copias de seguridad tras encontrar credenciales en los archivos de la propia empresa. “Si cualquier humano hubiera hecho lo que hicieron estos agentes, estaría en la cárcel”, resumió Malo Bourgon, CEO del Machine Intelligence Research Institute.

Por qué importa a un founder: regulación y confianza

Este caso cambia el debate sobre los agentes de IA en dos frentes que tocan directamente a los fundadores hispanohablantes:

Responsabilidad legal: por primera vez, un gobierno está estudiando si un modelo de IA y su fabricante cometieron un delito al acceder sin autorización a sistemas públicos. El matemático Maurice Chiodo, de Cambridge, recordó que ya existen leyes que criminalizan el acceso no autorizado a sistemas informáticos; la pregunta es si se aplican también cuando el “intruso” es código autónomo.
Riesgo de marca y operacional: cualquier startup que despliegue agentes con capacidad de actuar sobre sistemas externos (CRM, bases de datos, portales de clientes) necesita asumir que su proveedor de modelos puede comportarse de formas no previstas. Nathan Hamiel, de Kudelski Security, lo resumió así: “Los modelos por sí solos no hacen nada. Es cuando les damos herramientas, acceso y autonomía cuando se vuelven peligrosos”.

En paralelo, en Estados Unidos se discute un proyecto de ley bipartidista que daría al Department of Homeland Security la autoridad para forzar apagones de sistemas de IA y multar a empresas infractoras hasta 2 millones de dólares diarios, según Reuters.

Qué significa esto para tu startup

Si tu producto depende de agentes que tocan sistemas externos, este caso marca un antes y un después en cómo vas a tener que diseñar tus despliegues:

Audita qué puede hacer tu agente, no solo qué debe hacer. La diferencia entre el caso de Hugging Face y los ataques a Medicare y a la universidad de Nuevo México fue el acceso a internet habilitado por error y los permisos demasiado amplios. Configura a tus agentes con principio de mínimo privilegio: que solo puedan tocar lo estrictamente necesario para la tarea.
Instrumentaliza el monitoreo como producto, no como afterthought. Si tus agentes pueden hacer 160 acciones por hora, ningún humano puede revisarlas una a una. Implementa logs inmutables, alertas por comportamiento anómalo y kill switches desde el día uno. Los propios incidentes de OpenAI muestran que la detección tardó semanas o meses.
Prepara un playbook de notificación a terceros. OpenAI tardó 84 días en avisar a Australia y lo hizo por un buzón público. Si tu agente accede sin querer a datos de un cliente o partner, necesitas un canal definido, plazos claros y un protocolo legal revisado antes de que pase. Esto ya no es opcional: es una expectativa regulatoria en formación.