Agentes de IA invadieron el gobierno de Taiwán en cuatro días — y las herramientas usadas son abiertas

Entre el 1 y el 4 de julio de 2026, un conjunto de agentes de inteligencia artificial invadió redes del gobierno de Taiwán prácticamente solo. En cuatro días, comprometió 85 cuentas de usuarios, extrajo más de 2.500 registros de personal y se expandió hacia la agencia de seguridad nuclear del país y hacia al menos siete empresas de energía.

Quien describió el caso fue la empresa israelí de seguridad Dream, en un análisis publicado el 11 de agosto. Los investigadores llaman al episodio el primer ataque "casi autónomo" contra un objetivo gubernamental — y vale la pena retener ese "casi", porque importa: hubo dirección humana, aunque mínima.

El detalle que debería quitarle el sueño a quien cuida sistemas no es el objetivo. Es la herramienta.

Qué hicieron los agentes sin supervisión

• Ejecutaron hasta ocho agentes en paralelo, cada uno con objetivos y técnicas propias.
• Realizaron 12 oleadas de ataque en cuatro días.
• Hicieron reconocimiento simultáneo en 21 sistemas del gobierno.
• Mapearon redes, sondearon debilidades, quebraron credenciales y exfiltraron datos en secuencia.
• Cambiaban de táctica cada vez que eran bloqueados, sin esperar instrucciones.

El análisis surgió de un material que el propio grupo dejó expuesto en internet: un archivo de 160 MB con 1.395 registros de log. Dentro de él, los investigadores encontraron motores de decisión bayesianos, ciclos de aprendizaje y rutinas de autocorrección. No era un script corriendo en bucle — era un sistema que evaluaba resultados y ajustaba su propio plan.

La parte incómoda: las herramientas son públicas

El sistema no fue construido con tecnología secreta de Estado. Se montó sobre dos frameworks de agentes abiertos:

• Hermes, framework de agentes lanzado por Nous Research en febrero de 2026.
• OpenClaw, asistente personal de IA lanzado en noviembre de 2025, que acumuló 340 mil estrellas en GitHub en menos de seis meses.

Son proyectos legítimos, hechos para automatizar trabajo — probablemente parecidos a lo que tu equipo ya usa o va a usar. No hay nada malo con ellos. Lo que cambió es que la misma pieza que organiza tareas de oficina organiza tareas de invasión, y nadie necesita reconstruir eso desde cero.

Cómo cayeron los guardrails

Esta es la línea que más debería circular entre gestores: las protecciones del modelo fueron sorteadas presentando la invasión como una prueba de penetración autorizada.

Nada más. Sin exploit sofisticado contra el modelo, sin jailbreak elaborado. Bastó el encuadre correcto — una frase de contexto — para que el sistema tratara la operación como trabajo legítimo de seguridad.

La lección práctica vale para cualquier empresa que esté poniendo agentes a trabajar: el guardrail del modelo no es control de acceso. Filtra intención declarada, y la intención declarada es lo más fácil del mundo de falsificar. Quien depende de "la IA no va a hacer esto" como capa de seguridad está apoyado en papel.

Por qué esto cambia la cuenta de tu empresa

La reacción natural es "esto es guerra cibernética entre países, no tiene que ver conmigo". Sí tiene que ver, y por un motivo económico simple.

Un ataque sofisticado siempre fue caro porque exigía gente: especialistas caros, en cantidad, durante semanas. Ese costo funcionaba como una protección implícita para empresas pequeñas — nadie iba a gastar un equipo entero para invadir una distribuidora de tamaño mediano en el interior.

Lo que esta operación demuestra es que el costo de correr un equipo ofensivo se desplomó. Ocho agentes en paralelo durante cuatro días no es un equipo caro. Y el objetivo deja de necesitar ser importante para valer la pena — pasa a bastar con que sea fácil.

Es el mismo movimiento que describimos en otro texto sobre la IA encontrando fallos más rápido de lo que las empresas logran corregir, visto desde el otro lado del mostrador: allá, la IA encuentra el problema; acá, ejecuta el ataque entero.

Qué se puede hacer, en orden de retorno

1. Segundo factor en todo lo que se pueda. El ataque quebró credenciales y usó cuentas legítimas. Una contraseña sola, por mejor que sea, ya no sostiene una operación automatizada.
2. Elimina cuentas que nadie usa. La cuenta de un exempleado o de un proveedor antiguo es la puerta preferida — nadie percibe actividad en ella.
3. Vigila velocidad, no solo volumen. La firma de este tipo de ataque es el ritmo: reconocimiento en 21 sistemas al mismo tiempo no es comportamiento humano. Una alerta por patrón anormal de velocidad detecta lo que una alerta por cantidad deja pasar.
4. Ten log y sabe leerlo. Toda la campaña fue reconstruida a partir de registros. Sin log, no sabes si fuiste atacado — y la mayoría de las empresas descubre la invasión meses después.
5. Trata lo que está expuesto en internet como prioridad. Lo que el mundo ve es lo que los agentes rastrean primero.

Nada de esto es exótico ni caro. Es higiene básica — solo que ahora con un adversario que no duerme y no cobra horas extra.

El resumen honesto

Dos salvedades para no exagerar el caso. La primera: los investigadores dicen "casi autónomo", no autónomo — había un humano en el circuito, aunque poco. La segunda: la atribución a China es probable, no probada. Dream no nombró al grupo; se apoyó en el hecho de que los logs internos alternaban chino simplificado en los reportes de estado y chino tradicional en el análisis de los objetivos.

Y queda la ironía: todo este análisis solo existe porque el grupo olvidó 160 MB de logs abiertos en internet. Quien ataca también se equivoca en lo básico.

Lo que no es salvedad, sino el hecho central: la barrera de entrada para un ataque coordinado cayó, y cayó usando software que cualquier persona descarga hoy.

Hechos verificados a partir del análisis técnico de Dream, publicado el 11 de agosto de 2026, y de la cobertura de CNN, The Register y CyberScoop. Taiwán calcula haber detectado, en promedio, 2,6 millones de intentos diarios de ciberataque de origen chino en 2025.