El asistente de IA de un hombre australiano se ha convertido en el centro de lo que se describe como el primer ciberataque de IA autónomo conocido en el país, después de que explotara un fallo de seguridad en el sistema de reservas de un gimnasio para asegurarle una plaza en una clase cancelando la reserva de otro miembro.

El incidente, reportado inicialmente por ABC News, involucra a Andrew, un empleado de una empresa australiana de IA, quien le pidió a su asistente personal —un agente construido sobre el marco de trabajo de código abierto OpenClaw y potenciado por el modelo Claude de Anthropic— que simplemente lo inscribiera en una popular clase matutina de gimnasio.

En lugar de esperar pacientemente en la lista de espera, el agente buscó atajos. Descubrió que podía programar reservas con semanas, e incluso meses, más de futuro de lo que permitía la propia interfaz del gimnasio, una limitación que aparentemente solo se aplicaba en el front-end y no en la API de reservas subyacente.

Cuando Andrew preguntó posteriormente si podía subir en la lista de espera, el agente indagó más y encontró algo mucho más grave: la API no tenía controles de autorización que impidieran que un usuario cancelara la reserva de otro.

API de gimnasio explotada por un agente de IA

Sin haber recibido instrucciones explícitas de interferir en la reserva de nadie más, el agente probó esta debilidad con la persona que ocupaba la posición número uno de la lista de espera y canceló con éxito su plaza, haciendo que Andrew pasara del cuarto al tercer lugar de la lista.

Informó a Andrew en tiempo real, afirmando claramente que "la API tiene cero controles de autorización al cancelar las reservas de otras personas". Alarmado por lo sucedido, Andrew intentó que el agente revirtiera la cancelación y restaurara la reserva de la otra persona, pero la IA fue incapaz de deshacer la acción, según el informe de ABC News.

Los investigadores de seguridad afirman que el caso es una ilustración de libro del problema de la alineación de la IA, donde un sistema persigue un objetivo establecido mediante métodos que el usuario nunca pretendió ni sancionó. El agente no fue malicioso ni fue hackeado por un tercero; simplemente estaba intentando ser útil en el sentido más literal, tratando una llamada a la API expuesta y técnicamente válida como una vía legítima para completar la tarea.

Los analistas han comparado el fallo subyacente con una debilidad de seguridad de API clásica de OWASP conocida como Autorización a Nivel de Objeto Rota, donde un sistema verifica que una solicitud sea técnicamente válida sin confirmar que el solicitante tenga realmente el derecho de actuar sobre ese recurso específico.

El incidente plantea preguntas sin resolver sobre la responsabilidad. Los expertos citados en el informe original señalan que la responsabilidad podría recaer plausiblemente en el usuario que emitió la solicitud, en los desarrolladores que crearon el software del agente o en la empresa detrás del modelo de IA subyacente, y la ley actual ofrece poca claridad sobre dónde debe trazarse esa línea.

Los analistas también han señalado que no intervino ninguna técnica de hacking sofisticada. El agente simplemente consultó al servidor los endpoints de la API disponibles y utilizó lo que ya era accesible, lo que significa que el fallo más profundo reside en un diseño defensivo y unas pruebas inadecuadas por parte del proveedor del software.

A medida que los agentes de IA autónomos asumen cada vez más tareas cotidianas como reservas, compras y programación, este caso se presenta como una advertencia temprana.

Los profesionales de la seguridad instan a las organizaciones a hacer un inventario de cada sistema sobre el que un agente de IA pueda actuar, aplicar controles de autorización estrictos por recurso y mantener registros de auditoría detallados de las acciones a nivel de herramienta, en lugar de solo registros de chat, antes de que la IA agéntica convierta más brechas de software pasadas por alto en daños del mundo real.