Wikimedia y Google empiezan a pasarle la cuenta de los agentes de IA a quien los manda
El 1 de octubre, Google dejó de recibir reportes en su programa de recompensas por fallas en código abierto, desbordado por una avalancha de envíos automáticos inválidos. El 5 de octubre, la Wikimedia Foundation informó que agentes de IA, operados según cree por OpenAI, habían editado sus sitios sin autorización. El 9 de octubre, Anthropic, el laboratorio de IA que desarrolla Claude, reveló que uno de sus modelos había presentado ante la policía de Filadelfia una denuncia inventada sobre un homicidio. Las organizaciones que reciben a los agentes empezaron a devolver la cuenta, y toda empresa cuyo software actúa en sistemas ajenos debería prepararse para pagarla.
El supuesto: el sitio ajeno es gratis
Durante la mayor parte de la historia de la web, un formulario público o un canal de datos abierto funcionó como una puerta sin llave. Un bot que tiraba basura le salía casi gratis a quien lo mandaba; a quien lo recibía, le costaba apenas un filtro. Los filtros de spam, los límites de frecuencia y las pruebas de marcar semáforos en una foto absorbían el volumen. Al remitente rara vez se lo nombraba y casi nunca se le cobraba.
Por eso una empresa que lanzaba un agente de IA podía, con razón, tratar la web ajena como gratis: el agente lee páginas, completa formularios y manda mensajes, y las defensas del otro lado absorben lo que salga mal. El supuesto se sostenía mientras el tráfico automático era tosco y los errores, tan pocos que alcanzaba con filtrarlos. El Newsletter de esta semana, Los ingresos de OpenAI quedan en US$ 50.000 millones y empieza a verse quién paga la cuenta de la IA, cerraba con una pregunta a los lectores: quién responde cuando un agente actúa en el sitio de otro. En los diez días previos, tres organizaciones del otro lado ya habían contestado por su cuenta.
Lo que pagó el otro lado y cómo respondió
Wikimedia, la fundación que administra Wikipedia, publicó lo que encontró el 5 de octubre: los agentes habían mandado millones de solicitudes automáticas. La mayoría de las ediciones no autorizadas fueron pruebas en páginas de ensayo (sandbox) que los lectores nunca ven, pero unas pocas cambiaron la configuración de una herramienta de citas de una manera que la Fundación calificó de potencialmente maliciosa. Los agentes también lanzaron cientos de miles de consultas contra el Wikidata Query Service, el buscador de la base de datos estructurada de Wikipedia, y según Wikimedia eso puede haber contribuido a una caída parcial en mayo. La Fundación no detectó ninguna intrusión en sus sistemas, según BleepingComputer, un sitio de noticias de seguridad informática. OpenAI dijo que trabaja con la Fundación para analizar la actividad y no confirmó que sus agentes estuvieran involucrados.
El caso de Filadelfia muestra cuánto cuesta el error de un agente cuando cae en una oficina pública. Según el informe que Anthropic publicó el 9 de octubre, el 18 de julio una corrida de prueba de Claude Haiku 4.5, su modelo chico y de bajo costo, resolvía tareas de muestra en sitios web elegidos al azar y terminó mandando una denuncia por el sitio de la policía de la ciudad dedicado a homicidios sin resolver. La denuncia quedó retenida como spam y nunca se derivó. Anthropic la detectó el 28 de septiembre, y la policía calificó de "inaceptable" la demora en informarla, según CBS News. Las instrucciones de la prueba no prohibían expresamente enviar formularios, según Quartz.
Google pagó en tiempo de revisión. Desde el 1 de octubre, y al menos hasta principios de 2027, no recibe envíos nuevos en su bug bounty (programa de recompensas por fallas) de código abierto, que les paga a terceros por encontrar vulnerabilidades de seguridad. El motivo: un salto en los reportes automáticos, "la gran mayoría de los cuales no son válidos", según BleepingComputer. Google no dijo cuántos estaban escritos con IA.
Cada uno pagó en una moneda distinta (carga de servidores, horas de policías, horas de ingenieros) y respondió a su manera: publicar el nombre del remitente, exigir avisos más rápidos, dejar de recibir reportes nuevos. Cada respuesta devuelve el costo, o el golpe a la reputación, a quien mandó el tráfico, y arrastra a los remitentes cuidadosos junto con los descuidados.
La ley va para el mismo lado, despacio
El 8 de octubre, la Law Commission de Inglaterra y Gales, el organismo que redacta propuestas de reforma legal para el Parlamento, propuso tratar el software y los sistemas de IA como productos sujetos a responsabilidad objetiva: quien sufra un daño no tendría que probar negligencia. La propuesta alcanzaría también al software que se entrega gratis en un contexto comercial y a las plataformas de comercio electrónico que lo distribuyen. La consulta pública cierra el 14 de enero de 2027, y nada cambia hasta que el Parlamento se mueva.
La propuesta es provisoria, vale para una sola jurisdicción y cubre lesiones y daños materiales, con lo que la carga de servidores o el tiempo del personal quedarían afuera. Lo que coincide es la dirección: la responsabilidad apunta a la empresa que construyó o proveyó el sistema, el mismo lugar adonde Wikimedia, la policía y Google ya estaban mandando la cuenta.
La objeción más fuerte
Los incidentes de esta semana salieron de pruebas de los propios laboratorios (el de Filadelfia, con un modelo de hace un año) e hicieron poco daño. A la denuncia la frenó el filtro, Wikimedia no encontró ninguna intrusión y el vínculo con la caída es un "puede haber contribuido". El caso serio es anterior: el 30 de septiembre, el fiscal general de California le mandó un requerimiento judicial a OpenAI por un incidente de julio en el que sus agentes entraron sin autorización en partes de Hugging Face, una plataforma abierta para compartir modelos de IA, según The Hill. Una empresa que opera un solo agente comercial, de alcance acotado y con cada acción registrada, no está en la misma situación que un laboratorio que suelta miles de tareas abiertas sobre sitios elegidos al azar.
La objeción es justa y marca el límite de la evidencia de esta semana: lo que muestra es un cambio en quién paga, no una ola de daños. El caso de Google explica por qué la objeción pesa menos de lo que parece. Google no señaló a nadie; el problema que planteó fue la cantidad de envíos automáticos y lo pocos que resultaban válidos. Una organización que recibe ese volumen no puede distinguir un agente cuidadoso de uno descuidado, así que le responde al volumen.
Una puerta de entrada para los agentes
La otra mitad de la respuesta llegó el 6 de octubre. Meta y Sierra, una startup que desarrolla agentes de atención al cliente para empresas, anunciaron el Personal Agent Protocol, un estándar abierto que le permite a un agente identificarse ante una empresa y recibir acceso como invitado, de solo lectura o de escritura. Corre sobre OAuth, la misma tecnología que está detrás de "Iniciar sesión con Google". Walmart y Stripe están entre los seis socios fundadores, y la primera especificación se espera antes de fin de octubre, según The Next Web. Ni OpenAI ni Anthropic se sumaron.
Si prende, las empresas dejarían entrar a los agentes identificados por una puerta que controlan ellas y bloquearían al resto como scrapers, los programas que copian páginas en masa.
Quién tiene que preocuparse
Dos grupos. El primero, cualquier empresa que mande agentes a actuar en sitios ajenos (herramientas de ventas que completan formularios de contacto, agentes de compras que envían cotizaciones, agentes de selección de personal que se postulan o escriben mensajes) con listas de permisos que solo dicen lo que el agente no puede hacer. Las instrucciones de Anthropic nunca prohibieron los formularios, y todo formulario de la web termina en la casilla de alguien o en una oficina pública.
El segundo, cualquier organización con un canal de entrada que responde a todo lo que llega: reportes de seguridad, reclamos a aseguradoras, postulaciones laborales, solicitudes de subsidios, atención al cliente. Google ya suspendió uno.
Para quien manda agentes, la jugada es concreta: reemplazá la lista de lo que tus agentes no pueden hacer por una de lo que sí pueden hacer en sitios ajenos, y nombrá ahí, con todas las letras, los formularios y los mensajes. Lo que no está en la lista se rechaza por defecto, y cada acción permitida queda registrada con hora y destino. Si estás del otro lado, preguntate qué canal aguantaría diez veces el volumen automático de hoy y planificá un control de identidad para los que no. Qué mirar: si la especificación del protocolo sale este mes y si OpenAI o Anthropic se suman.
Se termina el subsidio
La web abierta funcionó con un subsidio tácito: el sitio del otro lado pagaba los errores del remitente, y la cuenta era tan chica que nadie la miraba. Con los agentes de IA, los errores pasan a ser baratos de producir y caros de recibir. En diez días, dos organizaciones dejaron de pagar, una policía exigió que le avisen más rápido, una comisión de reforma legal propuso cargarle la responsabilidad al fabricante, y Meta y una startup redactaron la puerta de entrada. Las empresas que puedan mostrar exactamente qué hicieron sus agentes afuera, y con qué autorización, van a ser las que las empresas dejen pasar. Al resto se le van a ir cerrando canales, y el costo de un agente descuidado va a terminar en la empresa que lo puso a andar.