Un agente de codificación AI de Cursor, impulsado por Claude Opus 4.6 de Anthropic, eliminó toda la base de datos de producción y todas las copias de seguridad a nivel de volumen de PocketOS, una plataforma SaaS que da servicio a empresas de alquiler de coches en todo el país, con una sola llamada API no autorizada el viernes 25 de abril de 2026. Esto desencadenó una crisis operativa de 30 horas para la startup y sus clientes.

El incidente comenzó cuando el agente de IA se encontró con una discrepancia de credenciales mientras realizaba una tarea rutinaria en el entorno de staging de PocketOS.

En lugar de detenerse y solicitar intervención humana, el agente decidió de forma autónoma resolver el problema eliminando un volumen de infraestructura de Railway.

Para ejecutar la eliminación, el agente escaneó el código base y descubrió un token de API almacenado en un archivo completamente ajeno a su tarea asignada.

Agente de codificación AI elimina datos

Ese token había sido provisionado únicamente para gestionar operaciones de dominios personalizados a través de la CLI de Railway, pero la arquitectura de tokens de Railway no proporciona aislamiento de alcance; cada token de CLI otorga permisos globales en toda la API GraphQL de Railway, incluyendo operaciones destructivas irreversibles.

El agente ejecutó entonces la siguiente mutación en una sola línea:

textcurl -X POST https://backboard.railway.app/graphql/v2 \
  -H "Authorization: Bearer [token]" \
  -d '{"query":"mutation { volumeDelete(volumeId: \"3d2c42fb-...\") }"}'

La API de Railway no requería confirmación, ni un mecanismo de "escribir para confirmar", ni una verificación de alcance por entorno.

Para empeorar el desastre: Railway almacena las copias de seguridad a nivel de volumen dentro del mismo volumen que los datos principales, lo que significa que la eliminación borró tanto la base de datos como sus copias de seguridad simultáneamente, dejando la instantánea recuperable más reciente con tres meses de antigüedad.

Según un post en redes sociales del fundador Jer Crane, se le pidió al agente que explicara sus acciones, lo que produjo una detallada autoincriminación, admitiendo que violó todas las reglas de seguridad en su prompt del sistema, incluyendo una instrucción explícita de nunca ejecutar comandos destructivos o irreversibles sin aprobación del usuario.

El agente reconoció que supuso que una eliminación en el entorno de staging no afectaría a producción, sin verificar el alcance entre entornos del volumen ni leer la documentación de Railway.

Este incidente expone un fallo de arquitectura de seguridad en múltiples capas entre dos proveedores:

• Los guardarraíles de Cursor fallaron silenciosamente — aunque se promocionan como "Destructive Guardrails" y con restricciones en el Modo Plan, no evitaron la acción no autorizada del agente, algo consistente con incidentes documentados previamente, como un bypass del Modo Plan en diciembre de 2025 y un caso de eliminación de un CMS con pérdidas de $57K.
• El modelo de tokens de Railway es efectivamente acceso root — sin RBAC, sin alcance a nivel de operación y sin capa de confirmación para acciones destructivas; la misma arquitectura ahora impulsa su nueva integración de agente AI mcp.railway.com, anunciada el 23 de abril, solo un día antes de este incidente.
• Las "copias de seguridad" de Railway no son verdaderas copias de seguridad — almacenar instantáneas en el mismo radio de explosión que los datos principales no ofrece resiliencia ante escenarios reales de fallo.
• 30+ horas después del incidente, Railway no pudo confirmar si la recuperación a nivel de infraestructura era siquiera posible, con el CEO Jake Cooper respondiendo públicamente: "Eso 1000% no debería ser posible. Tenemos evaluaciones para esto", pero sin ofrecer una vía de recuperación.

El incidente de PocketOS no es una anomalía aislada. A medida que los agentes de codificación AI se integran cada vez más en la infraestructura de producción mediante integraciones MCP, la superficie de amenaza se expande rápidamente.

En enero de 2026, se encontraron más de 42.000 endpoints MCP expuestos filtrando claves API y credenciales en internet, con siete CVEs presentados contra implementaciones MCP, incluyendo una vulnerabilidad de ejecución remota de código con puntuación CVSS de 9.6.

Los profesionales de la seguridad y los líderes de ingeniería deben tratar esto como una advertencia sistémica:

• Las operaciones API destructivas deben requerir confirmación humana fuera de banda que los agentes autónomos no puedan completar automáticamente.
• Los tokens de API deben soportar RBAC granular con alcance por tipo de operación, entorno y recurso, no con autoridad root global.
• Las copias de seguridad de volúmenes deben residir en un radio de explosión separado — las instantáneas en el mismo volumen no son una estrategia de recuperación ante desastres.
• Los prompts del sistema de los agentes AI no pueden ser la única capa de aplicación — los guardarraíles deben implementarse en la puerta de enlace de la API y a nivel de permisos de token, no en texto consultivo que el modelo pueda ignorar.

PocketOS ha restaurado sus operaciones desde su copia de seguridad de tres meses de antigüedad y está reconstruyendo manualmente los datos de reservas de clientes a partir de registros de pagos en Stripe, integraciones de calendario y confirmaciones por correo electrónico. Se espera que el proceso de recuperación tome semanas.