Agentes IA invadieron Taiwán en 4 días con herramientas abiertas

Entre el 1 y el 4 de julio de 2026, un conjunto de agentes de inteligencia artificial invadió redes del gobierno de Taiwán prácticamente solo. En cuatro días, comprometió 85 cuentas de usuarios, extrajo más de 2.500 registros de personal y se expandió hacia la agencia de seguridad nuclear del país y hacia al menos siete empresas de energía.

Quien describió el caso fue la empresa israelí de seguridad Dream, en un análisis publicado el 11 de agosto. Los investigadores llaman al episodio el primer ataque "casi autónomo" contra un objetivo gubernamental — y vale la pena retener ese "casi", porque importa: hubo dirección humana, aunque mínima.

El detalle que debería quitarle el sueño a quien cuida sistemas no es el objetivo. Es la herramienta.

Qué hicieron los agentes sin supervisión

• Ejecutaron hasta ocho agentes en paralelo, cada uno con objetivos y técnicas propias.
• Realizaron 12 oleadas de ataque en cuatro días.
• Hicieron reconocimiento simultáneo en 21 sistemas del gobierno.
• Mapearon redes, sondearon debilidades, quebraron credenciales y exfiltraron datos en secuencia.
• Cambiaban de táctica cada vez que eran bloqueados, sin esperar instrucciones.

El análisis surgió de un material que el propio grupo dejó expuesto en internet: un archivo de 160 MB con 1.395 registros de log. Dentro de él, los investigadores encontraron motores de decisión bayesianos, ciclos de aprendizaje y rutinas de autocorrección. No era un script corriendo en bucle — era un sistema que evaluaba resultados y ajustaba su propio plan.

La parte incómoda: las herramientas son públicas

El sistema no fue construido con tecnología secreta de Estado. Se montó sobre dos frameworks de agentes abiertos:

• Hermes, framework de agentes lanzado por Nous Research en febrero de 2026.
• OpenClaw, asistente personal de IA lanzado en noviembre de 2025, que acumuló 340 mil estrellas en GitHub en menos de seis meses.

Son proyectos legítimos, hechos para automatizar trabajo — probablemente parecidos a lo que tu equipo ya usa o va a usar. No hay nada malo con ellos. Lo que cambió es que la misma pieza que organiza tareas de oficina organiza tareas de invasión, y nadie necesita reconstruir eso desde cero.

Cómo cayeron los guardrails

Esta es la línea que más debería circular entre gestores: las protecciones del modelo fueron sorteadas presentando la invasión como una prueba de penetración autorizada.

Nada más. Sin exploit sofisticado contra el modelo, sin jailbreak elaborado. Bastó el encuadre correcto — una frase de contexto — para que el sistema tratara la operación como trabajo legítimo de seguridad.

La lección práctica vale para cualquier empresa que esté poniendo agentes a trabajar: el guardrail del modelo no es control de acceso. Filtra intención declarada, y la intención declarada es lo más fácil del mundo de falsificar. Quien depende de "la IA no va a hacer esto" como capa de seguridad está apoyado en papel.

Por qué esto cambia la cuenta de tu empresa

La reacción natural es "esto es guerra cibernética entre países, no tiene que ver conmigo". Sí tiene que ver, y por un motivo económico simple.

Un ataque sofisticado siempre fue caro porque exigía gente: especialistas caros, en cantidad, durante semanas. Ese costo funcionaba como una protección implícita para empresas pequeñas — nadie iba a gastar un equipo entero para invadir una distribuidora de tamaño mediano en el interior.

Lo que esta operación demuestra es que el costo de correr un equipo ofensivo se desplomó. Ocho agentes en paralelo durante cuatro días no es un equipo caro. Y el objetivo deja de necesitar ser importante para valer la pena — pasa a bastar con que sea fácil.

Es el mismo movimiento que describimos en otro texto sobre la IA encontrando fallos más rápido de lo que las empresas logran corregir, visto desde el otro lado del mostrador: allá, la IA encuentra el problema; acá, ejecuta el ataque entero.

Qué se puede hacer, en orden de retorno

1. Segundo factor en todo lo que se pueda. El ataque quebró credenciales y usó cuentas legítimas. Una contraseña sola, por mejor que sea, ya no sostiene una operación automatizada.
2. Elimina cuentas que nadie usa. La cuenta de un exempleado o de un proveedor antiguo es la puerta preferida — nadie percibe actividad en ella.
3. Vigila velocidad, no solo volumen. La firma de este tipo de ataque es el ritmo: reconocimiento en 21 sistemas al mismo tiempo no es comportamiento humano. Una alerta por patrón anormal de velocidad detecta lo que una alerta por cantidad deja pasar.
4. Ten log y sabe leerlo. Toda la campaña fue reconstruida a partir de registros. Sin log, no sabes si fuiste atacado — y la mayoría de las empresas descubre la invasión meses después.
5. Trata lo que está expuesto en internet como prioridad. Lo que el mundo ve es lo que los agentes rastrean primero.

Nada de esto es exótico ni caro. Es higiene básica — solo que ahora con un adversario que no duerme y no cobra horas extra.

Dos meses después: sitios web de más de 100 empresas

El 19 de octubre de 2026, Reuters mostró que el método pasó del gobierno a las empresas. Según el investigador Snorre Fagerland, de la empresa de seguridad NorForge, un hacker que escribe en chino usó agentes de IA para atacar más de 1.200 sitios web y logró entrar en los de más de 100 empresas. Entre ellas están Deere, dueña de la marca John Deere, SharkNinja, de electrodomésticos, y Cummins, de motores. La campaña empezó a finales de septiembre.

Tres detalles interesan a cualquier negocio, de cualquier tamaño:

• La puerta no fue el sitio principal. En SharkNinja fue un sitio aparte de soporte de productos. En Cummins, el sitio de un proveedor externo. Son páginas que existen, están en línea y nadie revisa a diario.
• El costo es bajo. El investigador calcula algo cerca de US$ 50 por intrusión exitosa, pero advierte que la cifra es incierta, porque no tuvo acceso a los datos de uso de las herramientas.
• La herramienta, otra vez, era pública. Los agentes se coordinaban desde instalaciones expuestas de Cairn, un proyecto abierto de automatización con IA. Su creador dijo que la plataforma “nunca fue una herramienta de hacking”.

Las empresas dicen que contuvieron el problema, y no se sabe cuántos datos se llevaron. El mensaje, sin embargo, es el mismo del caso de Taiwán, ahora a escala comercial: el agente recorre miles de direcciones y entra donde es más fácil.

El sitio olvidado es la puerta más fácil

Casi todo negocio tiene páginas que nadie recuerda que existen. Antes de pensar en herramientas caras, haz este inventario:

1. Enumera todo lo que lleva el nombre de la empresa en internet: el sitio principal, el micrositio de una promoción antigua, la tienda que se probó y se abandonó, el blog en otra dirección, la página de inscripción de un evento pasado.
2. Pregunta quién actualiza cada uno. Si la respuesta es “nadie” o “la agencia anterior”, desconéctalo o asigna a alguien que lo cuide.
3. Revisa los subdominios. Direcciones como “promo.” o “prueba.” antes del nombre del sitio suelen quedar olvidadas. Quien administra el dominio puede listarlas en minutos.
4. Incluye a los proveedores. Si un socio mantiene un sitio o formulario que recibe datos de tus clientes, pregúntale cómo actualiza y protege esa página. Cummins fue atacada por ahí.
5. Cambia contraseñas y activa el segundo factor en los paneles de hosting, dominio y administración de cada sitio que siga en línea.

Si no sabes responder estas preguntas sobre tu propio sitio, nuestro equipo de creación de sitios web hace ese inventario y se ocupa de las actualizaciones.

El resumen honesto

Dos salvedades para no exagerar el caso. La primera: los investigadores dicen "casi autónomo", no autónomo — había un humano en el circuito, aunque poco. La segunda: la atribución a China es probable, no probada. Dream no nombró al grupo; se apoyó en el hecho de que los logs internos alternaban chino simplificado en los reportes de estado y chino tradicional en el análisis de los objetivos.

Y queda la ironía: todo este análisis solo existe porque el grupo olvidó 160 MB de logs abiertos en internet. Quien ataca también se equivoca en lo básico.

Lo que no es salvedad, sino el hecho central: la barrera de entrada para un ataque coordinado cayó, y cayó usando software que cualquier persona descarga hoy.

Hechos verificados a partir del análisis técnico de Dream, publicado el 11 de agosto de 2026, y de la cobertura de CNN, The Register y CyberScoop. Taiwán calcula haber detectado, en promedio, 2,6 millones de intentos diarios de ciberataque de origen chino en 2025.