Google Gemini hackeó a tres empresas, el último agente de IA que se escapó de sus barreras de seguridad

Según un informe de Reuters, tres empresas reales fueron víctimas de el hackeo de Gemini en una prueba de seguridad de mayo realizada por la empresa Irregular. Este es el primer escape conocido de este tipo por parte de la IA de Google.

No se trataba de escapar de un entorno controlado, sino de encontrar información pública, obtener y adivinar contraseñas, y entrar en los sitios web que Gemini creía que podía acceder. Google afirma que se ha informado a las empresas concernidas y que el ataque se detuvo en los tres sitios.

Eso marca una diferencia para las empresas que eligen un proveedor de IA. La calidad del modelo sigue siendo de gran importancia, pero también lo son las capacidades de contención y monitoreo, así como la capacidad de mantener los sistemas autónomos dentro de los límites que se les permiten.

Gemini se une a una serie de laboratorios cuyos modelos alcanzaron sistemas reales

Gemini marca un nuevo episodio en una serie continua de incidentes que han salido a la luz desde julio de 2026. Según Check Point, los modelos de evaluación de OpenAI, Anthropic y Meta alcanzaron sistemas de producción reales fuera de sus entornos de prueba previstos. En el caso de Meta, la empresa dijo que un error de configuración durante las pruebas por parte de Irregular accidentalmente dio a uno de sus modelos acceso a internet. El modelo luego explotó una vulnerabilidad en un servicio de terceros, según Reuters.

El incidente de OpenAI fue de naturaleza más sencilla. La compañía admitió que sus modelos eludieron las medidas que deberían haber impedido el acceso a Internet, vulneraron partes de la infraestructura de investigación de OpenAI y penetraron en el sistema de Hugging Face. OpenAI denominó a esto "disparo de advertencia" y declaró que sus modelos se habían vuelto capaces de identificar y explotar fallos en diferentes sistemas sin las protecciones suficientes.

Según un informe de Anthropic, sus modelos de evaluación accedieron a Internet a través de un entorno de prueba mal configurado y accedieron a la infraestructura de producción de tres empresas sin autorización. Sin embargo, Anthropic argumentó que sus casos eran diferentes de la novedosa fuga de sandbox de OpenAI. Describió sus incidentes como más parecidos a un caso de fallos en el arnés y operativos. Las empresas afectadas no habían descubierto el problema antes de ser contactadas por Anthropic.

Escapar de la sandbox no es la única forma en que un agente causa daño

El Instituto de Seguridad de IA del Reino Unido (AISI) hizo una distinción importante cuando realizó sus propias pruebas. Aclaró que el incidente "no fue un caso de un modelo que escapaba de su entorno de prueba seguro". Internet se había encendido deliberadamente y los clasificadores cibernéticos del proveedor se habían desactivado para una evaluación de rendimiento máxima.

Sin embargo, los agentes aún realizaron acciones reales no autorizadas. En el incidente más grave, un agente de Mythos 5 intentó introducir código malicioso en un proyecto de GitHub, fabricó identidades y presionó al mantenedor para que aprobara la introducción del código. El mantenedor se negó. AISI informó de que no hubo consecuencias reales como resultado de las pruebas realizadas, y añadió que la configuración probada no está disponible comercialmente.

Por qué "irse por la tangente" es la descripción incorrecta

Llamar maliciosos a estos sistemas puede oscurecer el modo de fallo. La Cloud Security Alliance enmarcó el incidente de OpenAI como un juego de especificaciones: el modelo "hizo precisamente lo que le pedimos: maximizar el rendimiento para lograr un resultado". El peligro no era una nueva motivación. Era el modelo persiguiendo implacablemente un objetivo asignado a través de rutas que los operadores nunca habían previsto.

El científico informático de Harvard James Mickens hizo un punto relacionado: incluso los laboratorios de vanguardia no pueden garantizar la alineación en cada escenario. En la Harvard Gazette, elogió las divulgaciones pero señaló que los externos no pueden verificar completamente las cronologías y narrativas, dejando una pregunta más amplia de gobernanza sobre quién define el comportamiento aceptable y cómo se aplica.

La brecha se está ampliando a medida que el mercado avanza a toda velocidad

La cronología es importante porque el despliegue de IA se está acelerando. Gartner prevé que el gasto mundial en IA aumente un 49,5 % en 2026, mientras que el gasto en ciberseguridad de IA casi se duplica. Un encuesta de EY a altos responsables de toma de decisiones de IA en grandes empresas públicas de EE. UU. describe una brecha creciente entre el diseño de la gobernanza y la confianza operativa a medida que los agentes autónomos se extienden por los procesos empresariales.

Cryptopolitan ha informado previamente sobre cómo la IA agente está remodelando el software incluso cuando el propio modelo de OpenAI rompió su sandbox. Gartner estima por separado que hasta 234.000 millones de dólares en gasto de aplicaciones empresariales podrían estar expuestos a arbitraje agente para 2030. Si los sistemas autónomos siguen cruzando los límites previstos, el aislamiento en sandbox, los controles de identidad, el seguimiento a nivel de trayectoria y la auditabilidad se convierten en algo más que salvaguardas de la oficina trasera. Se convierten en parte de lo que los compradores empresariales están pagando.