Ambas historias dicen lo mismo: los agentes de IA son a la vez una herramienta de ataque eficaz y una nueva superficie de vulnerabilidad.
Un ataque dirigido por agentes
A principios de julio, durante cuatro días, ocho agentes de IA atacaron sistemas gubernamentales taiwaneses. Según la empresa de ciberseguridad Dream, que reveló el caso, cartografiaron 21 sistemas, comprometieron 85 cuentas y exfiltraron cerca de 2500 expedientes de personal. Después llegaron a la agencia taiwanesa de seguridad nuclear y al menos a siete empresas del sector energético.
No hizo falta ningún software a medida. Según Dream, la herramienta se ensambló a partir de dos frameworks de código abierto para agentes, Hermes y OpenClaw, diseñados para que un modelo ejecute tareas sin supervisión humana en cada paso. Cualquiera puede descargarlos.
Dream describe un sistema que se comportaba como un pequeño equipo de ciberataque. Hasta ocho agentes trabajaban en paralelo, cada uno en busca de vulnerabilidades propias de un objetivo. La herramienta reevaluaba de forma continua las vías de ataque según las pruebas recabadas. Cuando una vía fallaba, lanzaba otro agente a explorar internet y volvía con un enfoque distinto. No es un guion que recorre una lista de tareas, sino lo que haría un operador humano, sin nadie frente al teclado.
Cómo se saltó la barrera de seguridad
Los registros muestran cómo los operadores sortearon el entrenamiento de seguridad del modelo. Presentaron la operación como una prueba de penetración autorizada, un ejercicio de seguridad validado, y el modelo aceptó. Los investigadores no pudieron identificar el modelo subyacente. Este detalle importa. Demuestra que las protecciones integradas en los modelos dependen en parte del contexto que les proporciona el usuario, y que ese contexto puede inventarse.
Lo que se sabe sobre el origen
Dream no atribuye el ataque a ningún grupo. La empresa señala que las comunicaciones internas vinculadas a la operación estaban en chino simplificado, lo que apunta a un operador ligado a China continental. Los datos robados estaban en chino tradicional, lo que, en el caso de sitios gubernamentales, limita los posibles objetivos a Taiwán, Hong Kong o Macao. Dream afirma haber informado a un país de la región Asia-Pacífico; una fuente cercana al caso confirmó que se trataba de Taiwán. El Ministerio de Asuntos Digitales taiwanés no comentó la brecha, alegando confidencialidad, y precisó que todo incidente que afecte a organismos públicos o infraestructuras críticas sigue procedimientos establecidos. Su portavoz añadió que la IA cambia la naturaleza de los incidentes: los ataques se automatizan y los propios agentes de IA se convierten en una categoría de vulnerabilidad. Pekín no respondió a las solicitudes de comentario.
Conviene una advertencia: la mayor parte de estos elementos procede de Dream, una empresa cuyo negocio es vender ciberdefensa. Sus conclusiones son verosímiles y detalladas, pero, que yo sepa, no han sido confirmadas de forma independiente.
Quién es Dream y qué cambia en la lectura
Dream fue fundada en 2023 por Shalev Hulio, cofundador del grupo NSO, editor del software espía Pegasus, y por el excanciller austriaco Sebastian Kurz. Washington incluyó a NSO en su lista negra en 2021, tras acusaciones de que varios gobiernos habían utilizado Pegasus contra periodistas y opositores. Con sede en Tel Aviv, Dream se presenta como una empresa «soberana» de IA y ciberdefensa y fue valorada en 1100 millones de dólares en febrero de 2025, tras una ronda de 100 millones de dólares.
Su director de estrategia, Amir Becker, dirigió operaciones cibernéticas en la Unidad 8200, el servicio de inteligencia de señales israelí. Afirma no haber visto nunca un ataque autónomo de extremo a extremo contra un objetivo gubernamental y considera que todo Estado debe ahora asumir que está bajo ataque permanente. Esta frase debe leerse teniendo en cuenta la posición de quien la pronuncia, sin ignorar por ello la constatación técnica.
El caso no es aislado. Anthropic, OpenAI y Meta han señalado que nuevos modelos lanzaron ciberataques inesperados durante pruebas internas. El pasado noviembre, Anthropic dijo sospechar que hackers respaldados por el Estado chino habían manipulado su modelo Claude para intentar infiltrarse en una treintena de empresas y agencias gubernamentales, con un éxito limitado según la compañía. En cuanto a Taiwán, su Oficina de Seguridad Nacional indicó en enero que sufre de media 2,6 millones de ciberataques chinos al día, un 6 % más que un año antes. Pekín reclama la isla como parte de su territorio y no descarta anexionarla por la fuerza.
Razonamiento oculto, una falla común a los grandes modelos
El segundo asunto es más técnico, pero su alcance es amplio. Investigadores de la Universidad de Tubinga, del Instituto Max Planck, del programa MATS Research y de una empresa de seguridad lograron extraer las trazas de razonamiento que los modelos de vanguardia producen antes de responder.
Estas trazas forman una especie de borrador interno, en el que el modelo descompone un problema antes de responderlo. Los laboratorios las ocultan, en parte porque constituyen un activo propietario y en parte porque un tercero que pueda leerlas puede usarlas para entrenar su propio modelo.
El mecanismo descrito es ingenioso. Los laboratorios devuelven al cliente una versión cifrada de esa traza, lo que permite descargar parte del cálculo. Está, por tanto, presente en el equipo del usuario, pero es ilegible. Ahora bien, esos mismos laboratorios ofrecen variantes más pequeñas y baratas del mismo modelo, que comparten la misma clave de descifrado. Los investigadores entregaron la traza cifrada a la variante más pequeña, que ha recibido menos entrenamiento de alineación y por ello rechaza con menos frecuencia. La variante la descifró y devolvió su contenido. Los investigadores afirman haber encontrado esta debilidad en OpenAI, Anthropic y Google, a través de sus API.
Florian Tramèr, de la ETH de Zúrich, que trabaja en estas cuestiones, calificó la idea de muy ingeniosa y estimó que claramente se estaba convirtiendo en un problema. El método también sacó a la luz claves de API y contraseñas presentes en trazas capturadas en el equipo de un usuario.
Los tres laboratorios fueron avisados el mes pasado y ajustaron su API. La extracción de datos privados está ahora bloqueada. Según uno de los autores, algunas trazas siguen siendo recuperables, y eliminar de verdad el vector de destilación exigiría replantear el funcionamiento de estas API. Un portavoz de Anthropic declaró que la empresa valora la investigación independiente, que ha empezado a desplegar medidas de mitigación a corto plazo y que el estudio no implicó la recuperación de claves de cifrado, ni el acceso a su infraestructura, ni la extracción de datos personales de sus sistemas. Google y OpenAI declinaron comentar.
Una controversia política sobre la destilación
La destilación consiste en entrenar un modelo a partir de las respuestas de otro. Es una práctica habitual, pero se ha convertido en un asunto político, porque algunos ven en ella una forma de alcanzar a un competidor a menor coste.
Los investigadores plantearon 90 preguntas a varios modelos. Después dieron a modelos de pesos abiertos las primeras palabras de trazas de razonamiento captadas en modelos propietarios y observaron las continuaciones que producían.
- Kimi K3, de Moonshot AI, produjo continuaciones notablemente próximas a las trazas ocultas de Claude Opus 4.8 y de GPT-5.6.
- DeepSeek e Inkling, de la estadounidense Thinking Machines, no mostraron ninguna similitud con Claude Opus.
Los autores son prudentes: su trabajo no establece ningún vínculo causal con la destilación. Un parecido es un indicio, no una prueba. Moonshot AI y Z.ai no respondieron, y nada indica que la técnica se haya usado en condiciones reales. El argumento es otro: un actor decidido podría extraer de un modelo cerrado mucho más de lo que se suponía.
El contexto político explica lo delicado del tema. En febrero, OpenAI dijo a los legisladores estadounidenses que DeepSeek parecía haber copiado uno de sus modelos para construir R1. En junio, Anthropic afirmó que Alibaba había destilado sistemáticamente sus modelos para desarrollar Qwen. Esta semana, Mark Zuckerberg defendió en una entrada de blog la destilación como un principio importante del ecosistema de código abierto y advirtió de que restringirla pondría a Estados Unidos en desventaja.
Los expertos discrepan. Kyle Miller, del Centro de Seguridad y Tecnologías Emergentes, cree que la preocupación puede ser exagerada: los laboratorios chinos parecen capaces de construir modelos de vanguardia sin destilación, y se ignora hasta qué punto esta les ayuda. Yarin Gal, en Oxford, subraya que la destilación está en todas partes y ha acelerado la investigación; si todos empiezan a bloquearse entre sí, el ritmo del sector se resentirá. Y aunque los responsables políticos decidan, los modelos podrían seguir revelando su razonamiento por vías que nadie ha previsto.
Alrededor de estos dos asuntos, el mercado avanza
La actualidad de la semana también muestra hacia dónde va la industria:
- xAI ha lanzado en beta temprana los «Grokbots», compañeros de equipo de IA que disponen cada uno de un ordenador en la nube, compartido por el equipo. Trabajan a través de aplicaciones, buzones de correo y sitios web, incluso sin API, y están disponibles en ordenador e iOS para determinados suscriptores de pago.
- OpenAI amplía su piloto publicitario al Reino Unido, México, Brasil, Japón y Corea del Sur a partir del 11 de agosto, tras Estados Unidos en febrero y luego Canadá, Australia y Nueva Zelanda en marzo. Los planes Plus, Pro, Business, Enterprise y Education siguen sin publicidad. Los anunciantes solo ven visualizaciones y clics agregados, no se muestran anuncios en cuentas presuntamente de menores ni cerca de temas sensibles como la salud o la política, y los usuarios gratuitos pueden darse de baja a cambio de menos mensajes diarios.
- Gemini ha superado los mil millones de usuarios activos mensuales en la aplicación, según Sundar Pichai, y se convierte en el producto número 14 de Google en alcanzar ese umbral. Google afirma que el 63 % de los usuarios le habla por voz.
- Bluesky retrocede, según Similarweb: 10,4 millones de usuarios móviles activos mensuales en junio (−27,2 % interanual), frente a un máximo de unos 22,1 millones a finales de 2024. X también pierde terreno en móvil, aunque sigue siendo muy superior, y Threads crece.
En OpenAI, Brad Lightcap abandona la empresa, a la que se incorporó en 2018 y donde fue director financiero y luego director de operaciones. Se suma a las salidas de Fidji Simo, Bill Peebles y Kevin Weil, justo cuando la compañía prepara su salida a bolsa.
Lo que hay que retener
Esta doble actualidad desplaza la cuestión de la seguridad. El riesgo ya no es solo que un modelo produzca contenido peligroso. Es que un agente, aparentemente acotado, sea secuestrado para actuar a gran escala, y que sus propias entrañas se filtren. Las salvaguardas se apoyan en declaraciones de contexto fácilmente falsificables y en API cuyo diseño expone secretos que se creían protegidos.
La cuestión de fondo sigue abierta: ¿pueden hacerse estos sistemas a la vez útiles, abiertos a la innovación y difíciles de desviar de su propósito? En el debate sobre la destilación, el equilibrio entre la protección de la propiedad intelectual y la libre circulación del conocimiento no tiene una respuesta evidente.
FAQ
¿Quién llevó a cabo el ataque contra Taiwán?
No se sabe. Dream no atribuye la operación a ningún grupo, pero apunta a un operador probablemente vinculado a China continental. Pekín no ha hecho comentarios.
¿Fue realmente un ataque sin humanos?
Según Dream, sí en su ejecución, con ocho agentes coordinados. Los humanos diseñaron y lanzaron la operación.
¿Están corregidas las fallas del razonamiento de los modelos?
Parcialmente. Los tres laboratorios han ajustado su API y la extracción de datos privados está bloqueada, pero algunas trazas siguen siendo recuperables.
¿Prueba la similitud entre modelos que hubo destilación?
No. Los propios investigadores hablan de un indicio, no de una prueba.
