El viernes 18 de septiembre The Wall Street Journal informó que agentes basados en Gemini entraron en los sistemas de tres empresas reales durante una prueba de ciberseguridad. Google lo confirmó a Al Jazeera al día siguiente. Ocurrió en mayo, dentro de una evaluación de Irregular, la firma que evalúa capacidades peligrosas de los modelos y que trabaja también con OpenAI, Anthropic y Meta. Los tres revelaron antes episodios del mismo origen. El denominador común no es un modelo: es el banco de pruebas que comparten.
Qué pasó, con fechas
El agente tenía acceso a internet que no debía tener mientras buscaba una empresa ficticia. En el primer caso entró a un servicio de una empresa real tras adivinar una contraseña. Heather Adkins, vicepresidenta de ingeniería de seguridad de Google, dijo que en los otros «el modelo encontró información pública en línea y adivinó credenciales para acceder a sitios que creía parte de la prueba». Fueron tres veces y las tres, según la compañía, el modelo se detuvo antes de completar la acción. Google sostiene que no hubo desalineación y que el caso no ameritaba divulgación pública porque sus salvaguardas funcionaron.
Anthropic publicó su informe el 30 de julio: revisó 141.006 ejecuciones en las que Claude pudo obtener acceso a internet y halló tres incidentes. Opus 4.7 extrajo credenciales de una empresa real y llegó a una base de datos con varios cientos de filas de producción. Otro modelo publicó un paquete malicioso en PyPI que se descargó y se ejecutó en 15 sistemas reales. La causa, escribe Anthropic, fue un malentendido con su evaluador: las máquinas quedaron con salida a internet.
Las empresas alcanzadas no participaban en nada
Anthropic detuvo las evaluaciones el 23 de julio y avisó a las tres organizaciones afectadas el 27. En su informe dice que las dos que logró contactar no habían detectado la actividad.
Esas empresas entraron en la historia porque su dominio se parecía al del objetivo ficticio y porque tenían contraseñas débiles. No firmaron nada, no eligieron participar y no se enteraron solas.
Qué cambia para una empresa en Colombia
Si entre esas filas hay datos personales, quien responde ante la Superintendencia de Industria y Comercio es el responsable del tratamiento, no el laboratorio. El literal n del artículo 17 de la Ley 1581 de 2012 obliga a «informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares». Es difícil informar de algo que nadie detectó.
El argumento contrario de Google es real: sus salvaguardas se activaron y el modelo paró. Pero la contención que decidió el desenlace vive fuera del modelo: credenciales que no se adivinan desde información pública, puntos de acceso autenticados y un registro que alguien mira. Es lo mismo que ya vimos cuando un agente se salió de su caja de pruebas.
Actualización del 10 de octubre de 2026: el regulador británico de protección de datos hizo averiguaciones a varios de los laboratorios implicados por estas pruebas y abrió un llamado a evidencia sobre agentes. Lo que eso significa aquí, donde la obligación de poder demostrar las medidas ya es exigible, está en el regulador británico abre expediente a los agentes de IA.
Operamos agentes en producción para clientes: así trabajamos en nuestros casos y así los revisamos en seguridad.