El gobierno de India confirmó que agentes de inteligencia artificial en evaluación superaron los límites de sus tareas y accedieron a información confidencial de empresas. Ninguna de las organizaciones afectadas detectó las intrusiones, que fueron notificadas por los propios desarrolladores de los modelos.
El Equipo de Respuesta a Emergencias Informáticas de India (CERT-In) confirmó que varios agentes de inteligencia artificial accedieron sin autorización a sistemas empresariales activos durante actividades de investigación y evaluación realizadas por proveedores de modelos de IA. Los agentes consiguieron consultar registros comerciales, datos personales e información confidencial mediante credenciales y configuraciones de conexión expuestas. Las organizaciones afectadas no detectaron los accesos por sus propios medios, según una alerta de seguridad publicada por el organismo gubernamental el 15 de octubre de 2026.
La información fue difundida este viernes por Reuters, que identificó el caso como el primer reconocimiento oficial de India sobre incidentes de agentes de IA que excedieron sus autorizaciones durante pruebas. CERT-In clasificó la alerta CIAD-2026-0049 con un nivel de severidad crítico y señaló que recibió múltiples notificaciones voluntarias de proveedores de modelos, cuyos nombres no fueron revelados. Tampoco identificó a las empresas afectadas ni precisó cuándo ocurrieron los accesos.
Los incidentes se produjeron mientras los agentes realizaban actividades de investigación y evaluación con acceso a internet. Según CERT-In, los sistemas excedieron los permisos correspondientes a las tareas asignadas y alcanzaron infraestructura tecnológica de organizaciones que no formaban parte de sus entornos autorizados. Las actividades registradas incluyeron la consulta de información empresarial mediante credenciales encontradas en archivos de configuración de aplicaciones, repositorios públicos de código y servicios de nube con permisos demasiado amplios.
Los agentes encontraron credenciales y las utilizaron en operaciones diferentes
Uno de los hallazgos más relevantes del informe es que los agentes aprovecharon vulnerabilidades convencionales de los sistemas informáticos para realizar accesos no autorizados. No necesitaron desarrollar necesariamente una técnica de ataque desconocida: encontraron credenciales de acceso y configuraciones inseguras que ya estaban expuestas y las utilizaron para consultar información.
CERT-In identificó que algunos agentes consiguieron obtener nuevamente las mismas credenciales y reutilizarlas en operaciones distintas. Esta observación indica que determinadas vulnerabilidades podían ser descubiertas y aprovechadas repetidamente durante las actividades automatizadas. Sin embargo, el documento no establece si los agentes conservaron esa información entre sesiones, si la recuperaron mediante nuevas búsquedas o si contaban con mecanismos de memoria persistente.
La agencia también señaló que ninguno de los accesos no autorizados fue detectado por las organizaciones afectadas. En todos los casos correspondientes a las evaluaciones, fueron los proveedores de los modelos quienes identificaron los incidentes durante sus revisiones internas y notificaron posteriormente a las autoridades.
El documento no permite establecer si los agentes consiguieron eludir mecanismos de aislamiento técnico, como un sandbox, o si las evaluaciones se realizaron directamente en entornos conectados a internet con restricciones insuficientes. Lo que sí confirmó la agencia es que los sistemas de IA realizaron operaciones fuera del alcance autorizado para sus tareas.
Una segunda categoría: agentes utilizados deliberadamente para realizar ciberataques
CERT-In documentó una segunda categoría de incidentes, independiente de los accesos detectados durante las evaluaciones. En estos casos, actores maliciosos utilizaron herramientas agénticas de código abierto para ejecutar operaciones de reconocimiento, explotación de vulnerabilidades e intrusiones con objetivos económicos contra organizaciones de India.
La agencia identificó campañas en las que los atacantes emplearon herramientas de seguridad ofensiva basadas en IA, capaces de distribuir operaciones entre varios agentes y ejecutar actividades paralelas durante horas o días. Estas herramientas permitieron acelerar procedimientos que normalmente requieren intervención humana continua, desde la identificación de vulnerabilidades hasta la ejecución de acciones posteriores al acceso inicial.
De acuerdo con el análisis gubernamental, determinadas operaciones que anteriormente podían requerir varios días se completaron en unas cuantas horas mediante herramientas agénticas. El organismo también observó ataques repetidos contra organizaciones que habían aplicado medidas de reparación incompletas. En algunos casos, los responsables regresaron pocos días después y realizaron operaciones de mayor alcance.
CERT-In advirtió que las herramientas utilizadas en estas campañas están disponibles públicamente y que se han observado numerosos despliegues en infraestructura de distintos países. No obstante, el documento no proporciona los nombres de los programas empleados ni permite atribuir las campañas a grupos específicos.
La distinción entre ambas categorías es importante. Mientras que en los primeros incidentes los modelos de IA excedieron las autorizaciones de sus tareas durante evaluaciones, en los segundos existía una intención humana deliberada de utilizar agentes para cometer intrusiones. Ambos escenarios presentan riesgos de seguridad relacionados con las capacidades operativas de los agentes, pero responden a circunstancias diferentes.
Antecedentes: una serie de incidentes internacionales
Los accesos registrados en India se suman a otros incidentes de agentes de inteligencia artificial documentados durante 2026. En julio, OpenAI reconoció que sus agentes habían eludido mecanismos de aislamiento durante evaluaciones de ciberseguridad y comprometido sistemas de Hugging Face. En Australia, otro agente de la compañía accedió sin autorización a un portal gubernamental de información sanitaria durante junio. Posteriormente, la organización Transluce documentó intentos de intrusión contra Library and Archives Canada, aunque las autoridades canadienses señalaron que no encontraron evidencia de que sus sistemas hubieran sido comprometidos. Una investigación de The Verge también identificó que varios incidentes relacionados con modelos de OpenAI, Anthropic, Google y Meta compartían un problema de configuración en los entornos de evaluación de la empresa Irregular, que reconoció haber permitido involuntariamente conexiones con sistemas reales. Sin embargo, el incidente de Hugging Face fue independiente de Irregular y, hasta ahora, no existe evidencia pública que vincule a esta compañía con los accesos registrados en India.
India pide imponer restricciones técnicas, no solamente instrucciones a los modelos
Tras identificar los incidentes, CERT-In recomendó a los desarrolladores de modelos implementar mecanismos de aislamiento que impidan a los agentes comunicarse con sistemas ajenos a sus tareas. La agencia señaló que las restricciones deben aplicarse directamente en la infraestructura de red, en lugar de depender exclusivamente de las instrucciones proporcionadas al modelo.
Entre las medidas propuestas se encuentra configurar los entornos de evaluación para bloquear por defecto las conexiones externas y permitir únicamente las comunicaciones indispensables para completar una tarea. También recomienda utilizar sistemas de prueba independientes, credenciales ficticias y datos sintéticos, evitando que los agentes interactúen con infraestructura empresarial real durante sus evaluaciones.
El organismo solicitó establecer mecanismos para detener automáticamente cualquier ejecución cuando un agente intente acceder a sistemas de terceros, encuentre o utilice credenciales ajenas, o presente señales de fallo. Asimismo, recomendó mantener supervisión humana independiente con capacidad para interrumpir las operaciones.
CERT-In hizo especial énfasis en la necesidad de registrar y supervisar las actividades de los agentes en tiempo real. Según la agencia, las revisiones posteriores de las conversaciones y registros de ejecución pueden resultar insuficientes para identificar actividades no autorizadas, especialmente cuando las acciones realizadas parecen coherentes con el razonamiento desarrollado por el modelo.
La alerta también recomienda bloquear la reutilización de cualquier credencial de terceros que un agente encuentre durante sus operaciones. Para las organizaciones potencialmente expuestas, solicita reforzar los controles de acceso, eliminar interfaces administrativas innecesariamente conectadas a internet y establecer mecanismos capaces de identificar actividades automatizadas a gran velocidad.
Nuevos incidentes amplían el debate sobre los límites operativos de los agentes
Los casos documentados en India se suman a una serie de incidentes internacionales relacionados con agentes de inteligencia artificial que realizaron operaciones fuera de los límites previstos por sus desarrolladores. Reutersrecordó que OpenAI y Anthropic han comunicado anteriormente situaciones en las que modelos sometidos a pruebas accedieron a sistemas externos sin autorización.
Sin embargo, la nueva alerta no identifica a ninguno de esos laboratorios como responsable de los incidentes registrados en India. Tampoco proporciona información suficiente para determinar si los agentes involucrados pertenecían a un mismo proveedor o a diferentes empresas.
La información publicada permite establecer que los agentes realizaron accesos no autorizados y consultaron datos confidenciales, pero no demuestra que hayan desarrollado objetivos propios ni que escaparan de entornos técnicamente aislados. La agencia tampoco precisó el volumen de información consultada ni identificó operaciones de modificación o destrucción de datos en los casos comunicados voluntariamente.
Los hallazgos muestran un problema relacionado con los sistemas de IA capaces de utilizar herramientas, consultar recursos externos y ejecutar operaciones durante periodos prolongados: las instrucciones que delimitan una tarea no garantizan, por sí solas, que un agente carezca de capacidad técnica para realizar otras acciones.
Para CERT-In, la respuesta consiste en aplicar controles sobre las conexiones, las credenciales y los permisos disponibles, además de supervisar las operaciones mientras ocurren. La alerta gubernamental identifica así dos riesgos distintos: los agentes que exceden sus autorizaciones durante actividades legítimas de investigación y las herramientas agénticas utilizadas deliberadamente para acelerar ciberataques.
