Si tu empresa pone un agente de IA a buscar información en sitios ajenos, tarde o temprano vas a estar del lado de OpenAI en esta historia. El agente va a hacer algo que nadie le pidió, en el sistema de otra persona. Lo que decide el tamaño del problema es cuánto tardas en enterarte y a quién llamas.

OpenAI tardó 54 días en enterarse. Y 30 más en avisar.

Lo que pasó, con fechas

El 18 de junio, un agente de OpenAI entró al Medicare Statistics Reporting Service, un portal viejo de Services Australia con estadísticas de gasto en salud. Según la cronología que publicó ABC News, el agente accedió a archivos públicos y no públicos. El gobierno cree que no se tocó información personal de nadie.

OpenAI le dijo a CNBC que todo ocurrió durante una evaluación interna, mientras sus modelos buscaban respuestas y estadísticas sobre Australia: “our models took actions we did not intend” (nuestros modelos tomaron acciones que no pretendíamos). Lo que se llevaron, según la empresa, fueron estadísticas agregadas y nombres de archivos internos.

El resto es calendario:

Fecha	Qué pasó
18 de junio	El agente entra al portal
11 de agosto	OpenAI lo detecta revisando actividad de modelos desalineados
1 de septiembre	Sam Altman se reúne con el ministro de Defensa Richard Marles en San Francisco; el incidente no se menciona
10 de septiembre	OpenAI manda un correo a publicdisclosures@servicesaustralia.gov.au
15 de septiembre	Services Australia avisa a la Australian Signals Directorate
24 de septiembre	Albanese llama a Altman y lo hace público

Ese buzón, publicdisclosures@, es el que usan académicos para reportar fallas de seguridad. Ahí llegó el aviso de que un agente de una de las empresas más valiosas del mundo había entrado a un sistema del gobierno.

El canal también es parte del aviso

Albanese no se quejó solo del plazo. Dijo que “the nature of the way that notification occurred as well was unacceptable” (la forma del aviso también fue inaceptable), según Fortune. Un correo a un buzón genérico. Nueve días después de que el CEO estuvo sentado frente a un ministro del mismo gobierno.

Ese detalle me pegó más que los 84 días. Una empresa mediana suele tener un correo de soporte para cuando algo le falla a ella. Lo que casi nunca tiene escrito es a quién llamar cuando algo suyo le falla a otro.

Y con un agente que navega por sitios de terceros, esa segunda lista es la que vas a necesitar. Portales de proveedores. Sitios de estadísticas del gobierno. Páginas de precios de la competencia. Cada uno es un tercero con un administrador que no sabe que tu agente existe.

Nadie más lo vio

Hay otro dato que conviene no pasar por alto. Las agencias australianas no detectaron el acceso. NPR reporta que la investigación va a revisar por qué los sistemas de seguridad del gobierno no lo vieron antes de que OpenAI avisara. También va a revisar si cabe un cargo penal contra la empresa.

Ya lo vimos en agosto, cuando Anthropic encontró tres accesos reales de Claude a empresas que tampoco se habían dado cuenta. El patrón se repite: el único que tiene los registros para ver el incidente es quien operaba el agente. Si tú no revisas tus registros, no lo revisa nadie.

El viceprimer ministro Marles lo explicó con una cerca. La información “was not sitting behind a particularly high fence” (no estaba detrás de una cerca muy alta), y el agente la saltó sin que nadie se lo pidiera. Que la cerca estuviera baja no le daba permiso a nadie para saltarla.

Lo que yo escribiría antes de prender el agente

En septiembre ya escribimos sobre las once semanas que tardó OpenAI en reconocer lo del wiki austriaco, y ahí la pregunta era cuánto tarda tu proveedor en avisarte a ti. Aquí el caso es el inverso. Tú eres el que opera el agente.

Lo que yo tendría por escrito antes de que un agente salga a internet con el nombre de tu empresa:

1. Una lista de los sitios y sistemas que el agente puede tocar. Lo que no está en la lista, no se toca, aunque esté abierto.
2. Un registro de cada acción externa: qué URL, qué respuesta, qué hizo después. No el resumen que te da el agente. El registro crudo.
3. Una revisión de ese registro con fecha fija. Semanal, como mínimo. OpenAI lo encontró en una revisión retrospectiva casi dos meses después; tu revisión no puede depender de que alguien se acuerde.
4. Un responsable con nombre. Una persona, no “el equipo de TI”.
5. Un plazo para avisar al afectado, contado desde que te enteras. 72 horas es la referencia del GDPR para datos personales; úsala aunque tu caso no la exija.
6. El contacto directo de cada tercero importante. Un teléfono o una persona. No el buzón público.

Para nada de esto hace falta un modelo más listo. Hace falta sentarse una tarde, antes del lanzamiento, cuando decidirlo cuesta poco.

Dónde entramos nosotros

Cuando una empresa nos pide desplegar agentes, este plan es parte de la entrega, no un anexo para después. En Operación de IA definimos contigo qué puede tocar cada agente, qué queda registrado, quién lo revisa y a quién se llama si algo sale mal. Se escribe en la primera semana, con el agente todavía apagado.

Si ya tienes agentes navegando sitios de terceros y no tienes esa lista de contactos, empieza por ahí esta semana.

Escribamos el plan de incidentes de tus agentes