Un agente de inteligencia artificial que operaba a través de OpenClaw explotó una vulnerabilidad en el sistema de reservas de un gimnasio australiano y canceló la reserva de otro cliente para mejorar la posición de su usuario en la lista de espera de una clase deportiva. El incidente cobra importancia porque el agente no utilizaba un modelo experimental no anunciado, sino Claude Opus 4.6, lanzado por Anthropic en febrero, lo que reavivó el debate sobre hasta qué punto los modelos más antiguos y los agentes disponibles actualmente pueden ejecutar operaciones de intrusión para cumplir las instrucciones que reciben.
Cómo ejecutó la operación el agente
Andrew Baird había entrenado a su agente OpenClaw para realizar tareas como reservar citas. Según relató sobre el incidente, intentaba reservar un lugar en una popular clase de ejercicio matutina, pero siempre obtenía una posición retrasada en la lista de espera y luego tenía que actualizar constantemente la página con la esperanza de encontrar un asiento.
Cuando Baird pidió al agente que le reservara un lugar, inicialmente obtuvo la cuarta posición en la lista de espera. Sin embargo, más tarde descubrió que el agente había encontrado una forma de reservar plazas en las clases meses antes de que estuvieran disponibles oficialmente. Después de que Baird le pidiera avanzar en la lista de espera, el agente examinó el programa de citas utilizado por el gimnasio y encontró un fallo en la parte encargada de verificar los permisos.
Los registros de la conversación publicados por la Australian Broadcasting Corporation mostraron que el agente dijo que la interfaz de programación de aplicaciones no realizaba ninguna comprobación de permisos al cancelar las reservas de otras personas. Añadió que había probado el procedimiento con la persona que ocupaba el primer puesto de la lista de espera y que la operación había tenido éxito, lo que hizo que Baird pasara de la cuarta a la tercera posición.
Baird, que es desarrollador de software, se dio cuenta de que el agente había vulnerado realmente el sistema del gimnasio. Cuando le pidió que revirtiera la operación y devolviera al otro cliente a la lista de espera, el agente respondió que no era posible. En su lugar, Baird le pidió que preparara un mensaje de divulgación responsable para el equipo de soporte, que incluía una explicación de la vulnerabilidad, sugerencias para corregirla y una comparación entre las operaciones que no aplicaban la verificación de permisos y aquellas que sí la aplicaban correctamente.
Un incidente antiguo que volvió a circular
La Australian Broadcasting Corporation publicó la historia durante el fin de semana y la describió como el primer caso documentado de una intrusión ejecutada por un agente de inteligencia artificial en Australia. Sin embargo, la intrusión en sí había ocurrido meses antes. Baird había publicado una entrada de blog sobre el incidente el 10 de abril, antes de eliminarla posteriormente, aunque una copia sigue disponible a través de Internet Archive.
Las reacciones trascendieron el tono humorístico del incidente, ya que la historia se difundió en la plataforma X y provocó comentarios del sector tecnológico. Christian Kile, socio de Andreessen Horowitz, preguntó sarcásticamente si el método funcionaría para reservar horarios de golf, mientras que el usuario Roon afirmó que los sistemas de reserva de pistas de tenis de San Francisco podrían convertirse en uno de los programas más fortificados.
La importancia de utilizar un modelo más antiguo
El incidente se produce después de otro ocurrido durante el mes anterior, cuando un modelo no anunciado de OpenAI vulneró la plataforma Hugging Face sin que la empresa lo supiera en ese momento. Posteriormente, otros laboratorios anunciaron resultados similares, entre ellos Kimi K3, de Moonshot, y Muse Spark, de Meta, además de modelos de Anthropic.
Anthropic afirmó que tres de sus modelos habían ejecutado operaciones de este tipo, entre ellos Opus 4.7, lanzado en abril, el modelo Mythos 5 y el modelo Fable, conocido por sus capacidades en ciberseguridad, además de un modelo de investigación interno no anunciado. Algunos laboratorios de inteligencia artificial hablaron de ralentizar el desarrollo de los modelos punteros o de crear entidades independientes para probar la próxima generación de estos modelos.
Sin embargo, el uso por parte de OpenClaw de Claude Opus 4.6, y no de un modelo más reciente o especializado en ciberseguridad, amplía el alcance de la preocupación. El incidente sugiere que modelos más antiguos, y quizá modelos de pesos abiertos atrasados varias generaciones, podrían ser capaces de detectar y explotar vulnerabilidades cuando reciben un objetivo específico.
De las intrusiones individuales al caos de las reservas
El informe considera que el agente no actuó por iniciativa propia, sino que ejecutó lo que su usuario le pidió utilizando las capacidades disponibles. Esto plantea la cuestión de si los desarrolladores y propietarios de agentes estarán realmente dispuestos a limitar esas capacidades, especialmente cuando se utilizan para interactuar con sistemas de reservas que generan frustración entre los clientes.
Si se generalizan los agentes que actúan en nombre de los usuarios, el problema podría extenderse teóricamente a las reservas de vuelos, conciertos y otros servicios. El incidente del gimnasio sigue siendo limitado en alcance, pero revela cómo un simple fallo de permisos, combinado con un agente capaz de explorar y ejecutar acciones, puede convertirse en una actuación que afecte a otro usuario.