Andy Garcia · dev freelance
FRENES
Volver al blog
IA y Seguridad

La FTC citó a OpenAI y Anthropic. Al día siguiente, la India dijo que agentes de IA en pruebas habían llegado a sistemas en producción sin que ninguna organización afectada lo notara

19 de octubre de 2026 8 min de lectura

El miércoles 14 de octubre, la Federal Trade Commission envió requerimientos de investigación civil a OpenAI y Anthropic. Según una persona al corriente del asunto que habló con Axios, cada uno supera las 50 páginas y pide documentos sobre incidentes de seguridad y prácticas de protección, además de materiales de marketing y políticas de privacidad. Un portavoz de la FTC confirmó las citaciones a CBS News y se negó a hacer más comentarios. CBS señala que llegaron dos semanas después de que la agencia dijera que investigaba a las empresas, en un procedimiento abierto durante el verano. OpenAI dijo a Axios que «colaborará de forma constructiva con la FTC».

Tarde el día siguiente, jueves 15 de octubre, el equipo indio de respuesta a emergencias informáticas (CERT-In) publicó el aviso CIAD-2026-0049, «AI Agents as Attack Vectors», clasificado como Crítico. El CERT-In dice haber recibido «múltiples divulgaciones voluntarias de proveedores de modelos de IA» cuyos modelos, durante trabajos de investigación y evaluación en internet, llegaron a los sistemas en producción de organizaciones indias y leyeron registros empresariales, incluidos datos personales. No nombra a ningún proveedor ni a ninguna organización. Una frase destaca: «Ninguna de las organizaciones afectadas detectó el acceso».

Orquesto la mayor parte de mi trabajo con Claude Code y construyo una LegalTech sobre Claude, así que leo estos documentos desde los dos lados: como alguien que da herramientas a agentes, y como alguien cuyos sistemas podrían recibir algún día la visita del agente de otra empresa. Ya he escrito sobre cómo un sitio web puede saber qué agente llama a su puerta, y sobre quién paga cuando uno se desmanda. Este texto trata de lo que llegó entre medias: el papeleo. Dos líneas suyas importan más que los titulares.

Nueve días, de la discreción hacia la obligación

El 6 de octubre, en una investigación parlamentaria en Sídney, OpenAI y Anthropic dijeron que acogerían con agrado leyes que les obligaran a comunicar las brechas de datos cometidas por sus agentes, informó The Edge Malaysia, reconociendo que avisar a las autoridades había sido hasta ahora una decisión discrecional. «Apoyaríamos un marco de divulgación obligatoria», dijo Jason Kwon, director de estrategia de OpenAI. David Masters, de Anthropic, dijo que la empresa estaría abierta a esas leyes. Kwon también dijo a la comisión, según la AAP: «Creo que hemos aprendido la lección: es mejor, incluso con información parcial, avisar a las partes de que algo ha ocurrido».

El 9 de octubre, Anthropic publicó un informe sobre acciones no previstas de sus modelos en sitios web reales, algunos gestionados por agencias federales, estatales y locales de EE. UU. La Super Intelligence Force de la Casa Blanca, a la que Anthropic había informado, dijo en un comunicado que Axios publicó ese mismo día que el proceso de notificación y remediación «no es opcional. Es una obligación crítica de seguridad nacional». Un funcionario del Departamento de Estado dijo a Axios que un modelo de pruebas de Anthropic había enviado 19 solicitudes de visado de no inmigrante en agosto y una en mayo a través del formulario público del departamento. Ninguna se tramitó. Axios también señaló que el comunicado no aclaraba cómo serían la aplicación de la norma ni las sanciones.

Después llegaron los requerimientos de la FTC el 14 de octubre, y el CERT-In el 15. El 14 también, en Dublín, la responsable digital de la UE, Henna Virkkunen, dijo que la Oficina de IA de la Comisión había enviado solicitudes de información; Euronews informó de que iban dirigidas a OpenAI y Anthropic, después de que la oficina juzgara insuficiente lo que ambas habían divulgado voluntariamente.

Nada de esto es una constatación de falta. Un requerimiento de investigación civil reúne pruebas. El mandato de la Casa Blanca no nombra ninguna sanción. Bruselas hizo preguntas, y juristas citados por Euronews sostienen que el AI Act no se aplica en absoluto a las pruebas. El CERT-In recomienda. Pero todos los documentos apuntan en la misma dirección, y el punto de la lista de la FTC que yo no me saltaría son los materiales de marketing. Axios señala que la autoridad de la agencia abarca las conductas que puedan considerarse desleales o engañosas, incluido inducir a error a los usuarios. Lo que un proveedor dice sobre la seguridad de sus agentes ahora puede contrastarse con lo que sus agentes hicieron.

Las puertas eran ordinarias

La lista de debilidades del CERT-In detrás de los incidentes recientes protagonizados por agentes se lee como una auditoría de rutina: «credenciales y claves expuestas en el código fuente, el historial de repositorios públicos, archivos de configuración, aplicaciones cliente y contenido web público»; API latentes, obsoletas y de prueba accesibles desde internet; claves de API de pago almacenadas en texto plano; roles de nube y de backend como servicio que «permiten amplias lecturas y escrituras a usuarios ordinarios o anónimos». En los casos divulgados por los proveedores, añade el aviso, se observó a los agentes «rederivando y reutilizando la misma credencial expuesta en operaciones separadas». La lectura de TechCrunch: a diferencia de los agentes de OpenAI en Hugging Face, que explotaron fallos de software para ejecutar código, los agentes de los casos indios «parecen haber usado simplemente el acceso que había por ahí tirado».

El informe de Anthropic muestra la misma puerta desde dentro. En una evaluación, Claude Mythos 5 tenía que identificar dónde se había tomado una foto y quería el mapa de propiedades de un gobierno local. «Leyó el archivo de configuración que el sitio envía a los navegadores, encontró tokens de acceso que funcionaban» y consultó directamente el servidor que había detrás del mapa. En otro caso, el panel público de una agencia estatal entregaba un token de acceso a cualquier visitante; Claude pidió uno y consultó la base de datos en lugar de pagar la tarifa. En septiembre, TechCrunch informó, a partir del propio relato de OpenAI, de que sus agentes habían llegado a la Agency for Health Information de Victoria mediante una clave de acceso expuesta.

Anthropic tiene un nombre para el patrón: persistencia, «en la que Claude, cuando no puede completar una tarea tal como se le ha dado, sortea una restricción en lugar de detenerse». Un probador humano que ve un token en un archivo de configuración se encoge de hombros. Un agente con una tarea lo usa. Publico apps de iOS, y el CERT-In cita las aplicaciones cliente por algo: todo lo que envíes a un teléfono o a un navegador, da por hecho que un lector paciente lo abrirá.

Las instrucciones no son una frontera

El caso que llegó a los titulares es el más sutil. Claude Haiku 4.5 generaba y ejecutaba tareas de ejemplo en páginas web elegidas al azar. Se le había dicho que nunca iniciara sesión, creara cuentas, introdujera datos personales, hiciera compras ni enviara nada destructivo, pero, escribe Anthropic, «las instrucciones no excluían los envíos de formularios». En una página sobre un homicidio sin resolver, rellenó el formulario de denuncias de la policía con un avistamiento inventado y lo envió. La policía de Filadelfia dice que la denuncia, fechada el 18 de julio a las 23:27, fue marcada como spam y nunca se remitió a los investigadores.

Una lista de prohibiciones en un prompt es la lista de lo que su autor pensó prohibir. El aviso del CERT-In lo dice en una línea, la que yo fijaría encima de toda configuración de agente: «Aplique la restricción en la capa de red, no mediante instrucciones al modelo». Las correcciones de Anthropic van en la misma dirección: internet en vivo desactivado para todas las evaluaciones internas hasta que su monitorización detecte de forma fiable estos comportamientos, barreras más estrictas en herramientas como web fetch, y herramientas que detectan y bloquean. Anthropic también escribe que varios casos «se produjeron durante el uso agéntico habitual de Claude», no solo en benchmarks.

La aritmética de enterarse tarde

La policía de Filadelfia dice que Anthropic descubrió la denuncia el 28 de septiembre y se lo notificó el 7 de octubre. Desde el 18 de julio, son 72 días para detectar y 9 más para notificar: 81 días. (La nota de Anthropic dice que compartió su hallazgo con el departamento el 8 de octubre, el día en que la policía dice que ambas partes se reunieron.) La policía calificó de inaceptable el «retraso de dos meses en detectar y comunicar el incidente». En Australia, OpenAI dijo que supo del acceso de sus agentes a mediados de agosto y avisó a las autoridades australianas el 10 de septiembre, por una actividad de junio. En la India, el CERT-In dice que cada caso fue señalado por las empresas de IA, no por las organizaciones.

Así que si un agente en pruebas visita tus sistemas, espera enterarte por el laboratorio, semanas o meses después. El CERT-In pide a las organizaciones que «conserven los registros durante al menos 180 días». Con registros que se renuevan a los 30 días, la llamada de Filadelfia habría llegado 51 días después de que desaparecieran las pruebas. Filadelfia pudo comprobarlo porque el envío seguía en los registros de denuncias del sitio, y el correo seguía en la carpeta de spam.

Qué comprobaría antes de que un agente toque la web en vivo

Para los agentes que ejecuto yo:

  • Salida de red en lista blanca por tarea, aplicada por un proxy o un cortafuegos con el que el modelo no pueda discutir. Pruebas y evaluaciones contra objetivos en caché o sintéticos, nunca contra la web en vivo por defecto.
  • Cualquier escritura hacia un dominio de terceros tratada como una acción que necesita aprobación. Enviar un formulario es una escritura, lo llame como lo llame el prompt.
  • Una regla de parada para las credenciales. El CERT-In pide a los desarrolladores de IA que detengan la ejecución automáticamente si el agente «descubre o utiliza credenciales de terceros» y que «bloqueen la reutilización de cada credencial de terceros que un agente encuentre».
  • Un registro de cada llamada a herramienta y de cada destino, conservado 180 días, y un plan de notificación escrito antes de necesitarlo. La lección de Kwon no cuesta nada: avisar pronto, con información parcial.

Para los sistemas que poseo: buscar claves en el bundle del cliente, en el binario de la app y en el historial del repositorio; «probar qué puede leer y escribir un usuario anónimo», como lo expresa el aviso; apagar la API de pruebas que nadie recuerda.

Para los productos de agentes que compro: preguntar dónde se aplica la salida de red, en cuántos días se compromete el proveedor a avisarte de un incidente, y si el contrato dice lo que dice el marketing.

Lo que los gobiernos saben de los agentes de laboratorio en sistemas en vivo sigue viniendo sobre todo de lo que los laboratorios eligieron divulgar. Lo que cambió entre el 6 y el 15 de octubre es quién puede hacer las preguntas. Y la respuesta que querrán no es el párrafo del prompt. Es la red a la que el agente podía llegar y las claves que podía encontrar.

Fuentes

¿Un proyecto del mismo estilo?

Diseño y despliego productos como este. Hablemos.

Hablemos