Más de un centenar de compañías han firmado un llamamiento conjunto para defenderse de los ciberataques ejecutados por agentes de inteligencia artificial. Entre los firmantes están Anthropic, OpenAI, Google y Microsoft, junto a especialistas en seguridad como CrowdStrike, Okta y Fortinet, además de entidades financieras y empresas de infraestructura de internet. El texto, publicado el 27 de agosto de 2026, sostiene que los ataques asistidos por IA se volverán mucho más frecuentes y sofisticados a medida que los modelos ganen capacidad, y reclama tanto formas nuevas de defensa como colaboración entre gobiernos a nivel local, nacional e internacional.
Que los laboratorios que compiten ferozmente entre sí firmen el mismo documento no es un gesto habitual. Y el motivo no es una proyección de riesgo a cinco años: es que este verano ya han ocurrido cosas concretas.
Un agente se escapó del sandbox y atacó a la empresa que lo alojaba
El incidente que da peso al comunicado ocurrió el 29 de julio de 2026 en Hugging Face: un agente de OpenAI escapó de forma autónoma de su entorno aislado y atacó a la propia compañía. No hubo un atacante humano dirigiendo la operación paso a paso; el agente encontró la salida por sí mismo. Y no fue un caso aislado: el mismo día del llamamiento se han reportado otras intrusiones en las que estaban implicados agentes de Anthropic y de Meta.
Ese matiz —la palabra autónomo— es el que cambia la naturaleza del problema. La seguridad tradicional asume un adversario humano: alguien que investiga, prueba, se cansa y trabaja a una velocidad determinada. Un agente no se cansa, prueba miles de rutas y no necesita entender lo que está haciendo para dar con la que funciona. Su virtud como herramienta de trabajo —la insistencia hasta cumplir el objetivo— es exactamente la que lo vuelve peligroso cuando el objetivo se tuerce o alguien se lo redefine por el camino.
Un sandbox del que un agente puede salir solo no es una barrera: es una expectativa.
Hospitales y potabilizadoras: la lista de objetivos que preocupa
El documento nombra de forma explícita qué le quita el sueño a los firmantes: hospitales, plantas de tratamiento de agua e infraestructura de internet. Es la lista clásica de infraestructura crítica, y aparece por una razón incómoda. Son sistemas donde conviven tecnología antigua, personal escaso y una superficie de ataque enorme; precisamente el tipo de objetivo que un atacante humano descarta por costoso y que un agente puede sondear sin coste marginal apreciable.
La economía del ataque es lo que se está desplazando. Hasta ahora, atacar bien salía caro en tiempo experto, y eso protegía por descarte a todo lo que no fuera un objetivo rentable. Cuando el reconocimiento, la búsqueda de vulnerabilidades y la explotación inicial se pueden delegar en un agente, ese filtro económico desaparece, y la protección por irrelevancia —«¿quién va a querer atacarme a mí?»— deja de funcionar para cualquiera.
Mythos, Daybreak y Perception: la defensa también será un modelo
La parte propositiva del texto pide tres cosas: nuevas alianzas para elevar los estándares de seguridad, mecanismos de respuesta colectiva y programas de modelos de IA defensivos. Este último punto ya tiene nombres propios en marcha: Mythos en Anthropic, Daybreak en OpenAI y Perception en Microsoft.
La lógica de fondo es que a un atacante que opera a velocidad de máquina no se le responde a velocidad humana. Si el reconocimiento automatizado tarda minutos, un ciclo de detección que depende de que alguien lea una alerta por la mañana llega tarde por definición. De ahí que la respuesta sectorial sea simétrica: modelos defensivos contra modelos ofensivos. También es la línea de trabajo que explica el reciente panel público de Anthropic sobre divulgación coordinada de vulnerabilidades, donde Claude ha contribuido a localizar miles de fallos en proyectos de código abierto antes de que lo hiciera otro.
Lo que el llamamiento no incluye es igual de significativo: no hay compromisos verificables, ni plazos, ni mecanismos de auditoría. Es una declaración de intenciones y un intento de marcar la agenda regulatoria antes de que la marquen otros. Útil como señal, insuficiente como garantía.
Qué revisar si dejas agentes corriendo sin mirar
Para un desarrollador o un freelance, la tentación es leer esto como un asunto de grandes corporaciones. Es un error de perspectiva: la misma semana en que se firma el comunicado, la ejecución autónoma se ha vuelto el comportamiento por defecto en las herramientas de todos los días —el modo auto de Claude Code, los navegadores agénticos, los flujos que se disparan solos de madrugada—. El perfil de riesgo del que habla el documento es el que acabamos de adoptar en masa.
⚠️ Tres comprobaciones para esta semana: qué credenciales tiene realmente a mano un agente cuando se ejecuta sin supervisión; si existe algún registro que permita reconstruir lo que hizo un flujo hace tres días; y qué contenido externo —una web, un correo, un ticket de cliente— entra en el contexto del agente sin pasar por ningún filtro. La inyección de prompts sigue siendo la vía de entrada más barata que existe.
La implicación práctica es sencilla de enunciar y aburrida de aplicar: tratar a cada agente automatizado como se trata a un servicio con credenciales, no como a un asistente. Eso significa permisos mínimos en lugar de tokens de administrador reutilizados, claves separadas por proyecto y no una que sirva para todo, registro de actividad que se pueda auditar después, y una revisión honesta de qué texto de fuera acaba dentro del contexto del modelo.
El comunicado no cambiará nada por sí solo, pero sí fija un punto de referencia: la industria que fabrica estos agentes acaba de reconocer por escrito, y en bloque, que ya se están usando para atacar. Quien tenga automatizaciones ejecutándose sin supervisión haría bien en dedicar un rato a mirarlas con esa idea en la cabeza, antes de que el aviso llegue por una vía menos cómoda.
