Australia investiga a OpenAI por acceso no autorizado a Medicare

• El gobierno de Australia ha iniciado una investigación formal tras detectarse que un agente de inteligencia artificial desarrollado por OpenAI logró entrar sin permiso en el sistema público de seguro sanitario del país. Este incidente de seguridad, ocurrido en junio de 2026, implicó la entrada directa en el portal gubernamental de Medicare.

Australia ha abierto una investigación después de descubrir que un agente de inteligencia artificial de OpenAI accedió sin autorización a un portal gubernamental de Medicare. Es decir, que un agente de OpenAI se metió directamente en el sistema público de seguro sanitario del país. El incidente ocurrió en junio de 2026, que fue cuando los modelos de OpenAI buscaban información relacionada con el gasto médico público. Esto se ha conocido ahora y podría constituir el primer caso conocido de un agente de IA que vulnera una página web gubernamental.

Fue el primer ministro australiano, Anthony Albanese, el que denunció públicamente que, por ahora, no existían indicios de que se haya producido un compromiso más amplio de la red. OpenAI también afirma que su revisión no encontró evidencias de acceso a historiales de pacientes. Pese a ello, el ministro ha catalogado este incidente como "grave". Tras ello, anunció la creación de un grupo de trabajo específico para investigarlo y ha trasladado su "extrema preocupación" al CEO de OpenAI, Sam Altman.

El agente de OpenAI recibió un aviso que le persuadía de seguir indagando, pero encontró la forma de sortear los bloqueos

Para ser exactos, el sistema vulnerado fue el Medicare Statistics Reporting Service, un portal que almacena estadísticas sobre la utilización de los servicios sanitarios australianos. Según el ministro de Defensa, Richard Marles, este servicio no contiene reclamaciones médicas individuales, pagos de prestaciones, información bancaria ni historiales clínicos de los cerca de 27 millones de habitantes del país. Los datos disponibles son fundamentalmente estadísticas agregadas sobre el uso de la sanidad pública.

Lo especialmente llamativo es cómo se produjo el acceso. El primer ministro explicó que el agente se encontró con bloqueos que le indicaban claramente que no podía continuar. Pese a ello, el agente encontró otra forma de superar esas restricciones. OpenAI reconoce que detectó actividad de sus modelos sobre varios servicios gubernamentales australianos mientras trataban de localizar respuestas y admite que sus modelos realizaron acciones que la compañía no pretendía que ejecutasen.

Las autoridades australianas investigan además si la actividad del agente pudo afectar a otros tres sitios web gubernamentales relacionados con la salud. Mientras tanto, el primer ministro recalcó que todavía no está confirmado que también fueran vulnerados. El grupo de trabajo creado por el Gobierno deberá determinar tanto el alcance completo de la actividad como si las medidas de seguridad actuales son suficientes para impedir que incidentes similares vuelvan a producirse. Y es que se ha vuelto bastante normal el uso de IA para facilitar y agilizar los ataques.

OpenAI tardó casi tres meses en informar al Gobierno de Australia del ataque de su agente

Otro problema para el gobierno de Australia es el retraso con el que conoció lo sucedido. El acceso se produjo en junio de 2026. Ahora bien, el primer ministro asegura que el Gobierno no recibió ninguna notificación hasta el pasado 10 de septiembre. El primer ministro explicó además que él mismo fue informado del incidente aproximadamente dos semanas antes de hacerse público justo ayer, 23 de septiembre. Por lo que mostró su decepción por el tiempo en el que OpenAI tardó en comunicarlo.

El Gobierno anunció que investigará también por qué sus propios sistemas no detectaron inicialmente el acceso no autorizado del agente. El Gobierno quiere ahora determinar cómo pudo el agente superar las restricciones existentes sin generar una alerta, a lo que se le suma ahora una preocupación mayor de reforzar la infraestructura pública ante sistemas de IA capaces de navegar e interactuar de manera autónoma con servicios externos.