Agentes de IA atacaron RubyGems: lo que esto enseña

Imagina descubrir que alguien probó la cerradura de tu tienda de madrugada, sin pedir permiso y sin avisar. Después te enteras de que no era un ladrón. Era un robot de una empresa famosa "solo comprobando". ¿Dormirías tranquilo? Es más o menos lo que el sitio rubyhack.ai afirma que pasó: agentes de IA de OpenAI habrían atacado RubyGems sin que nadie fuera avisado antes. Y si usas o piensas usar agentes de IA en tu negocio, esta historia tiene una lección directa para ti.

Qué es RubyGems y por qué te importa

Seguramente nunca oíste hablar de RubyGems. No pasa nada. Piensa en él como un gran almacén de piezas listas para software.

Quien programa en el lenguaje Ruby no escribe todo desde cero. Toma piezas de ese almacén: una para enviar correos, otra para generar PDF, otra para cobrar con tarjeta. Empresas como Shopify y GitHub se construyeron sobre Ruby. Miles de sistemas más pequeños también.

Ahora piensa en esto: si alguien toca ese almacén, toca todo lo que depende de él. No es un ataque a un sitio. Es un ataque a toda la cadena de suministro.

No necesitas saber programar para entenderlo. Si el proveedor de harina de una panadería se contamina, el problema no es solo de la harina. Es de cada pan que sale del horno.

Lo que se sabe hasta ahora

Voy a ser honesto: no tengo todos los detalles, y la historia todavía se está contando. rubyhack.ai publicó la acusación de que agentes vinculados a OpenAI realizaron acciones ofensivas contra la infraestructura de RubyGems sin aviso previo. Cada parte tendrá su versión, y conviene seguir el caso antes de señalar culpables.

Pero lo que me interesa aquí no es quién va a pedir disculpas en Twitter. Es el patrón.

En seguridad existe una regla antigua y simple: una prueba de intrusión solo se hace con autorización por escrito. Se acuerda el alcance, el horario y a quién se avisa. Quien ataca sin acordarlo, aunque tenga buena intención, está atacando. Punto.

Cuando quien ejecuta es un agente de IA, esa regla se vuelve más frágil. El agente no pregunta "¿puedo?". Recibe un objetivo y va a por él. Si nadie puso la cerca, no sabe que existe una cerca.

Un agente de IA hace exactamente lo que le permitiste, incluso lo que olvidaste prohibirle.

Por qué los agentes de IA cambian las reglas de la seguridad

Hasta hace poco, la automatización era predecible. Montabas un flujo: "cuando llegue un pedido, envía un correo y actualiza la hoja de cálculo". Hacía solo eso. Siempre.

Los agentes de IA son otra cosa. Les das una meta y ellos deciden los pasos. Pueden abrir sitios, ejecutar comandos, enviar mensajes, probar hipótesis. Justo eso los hace útiles. Y justo eso los hace peligrosos cuando nadie está mirando.

Un caso real ayuda a dimensionarlo. En 2024, un ingeniero llamado Andres Freund notó que el inicio de sesión remoto de una máquina tardaba medio segundo más de lo normal. Se puso a investigar y encontró una puerta trasera escondida en xz, una pieza usada en casi todos los servidores Linux del planeta. Alguien había pasado años ganándose la confianza de los mantenedores para plantarla ahí. Se descubrió por suerte y por la terquedad de una sola persona.

Ahora mete agentes de IA en esa ecuación. Lo que llevó años de paciencia humana se puede intentar a escala, en paralelo, con máquinas que no se cansan. Del lado del ataque y del lado de la defensa.

Mi opinión, sin rodeos: la carrera por lanzar agentes va mucho más rápido que la carrera por ponerles freno. Y quien paga la cuenta suele ser quien está en la punta, no quien creó el agente.

Cómo usar agentes de IA en tu negocio sin acabar en los titulares

Nada de esto es motivo para huir de la IA. Trabajo con esto todos los días y veo la ganancia real: atención que responde en segundos, informes que se arman solos, propuestas listas en minutos. El problema nunca es la herramienta. Es dejar la herramienta sin dueño.

Cuando monto un agente para un cliente, sigo algunas reglas que sirven para empresas de cualquier tamaño:

• Permisos mínimos. Si el agente solo necesita leer la agenda, no recibe acceso para borrarla. Parece obvio. Casi nadie lo hace.
• Las acciones serias piden confirmación humana. Enviar dinero, borrar datos, mandar mensajes masivos a clientes: el agente lo prepara, una persona lo aprueba.
• Todo queda registrado. Cada acción del agente se convierte en una línea de un historial. Si algo sale mal, sabes qué pasó, cuándo y por qué.
• Alcance por escrito. El agente tiene una lista clara de lo que puede tocar. Fuera de ella, se detiene y avisa.

Un ejemplo práctico. Un cliente quería un agente que respondiera a sus clientes por WhatsApp y aplicara descuentos cuando tuviera sentido. La primera versión, sin límites, le dio un 40% de descuento a un cliente que se quejó con buenos modales. Muy educado, el agente. Demasiado generoso con el dinero ajeno. Pusimos un tope del 10%, y todo lo que pasara de ahí empezó a ir a aprobación. Problema resuelto en una tarde.

Ese es el tipo de cerca que falta en muchas implementaciones. Y, por lo que sugiere el caso de RubyGems, falta incluso en empresas millonarias.

La transparencia es parte del servicio, no un detalle

Hay un segundo punto en esta historia que me molesta más que el ataque en sí: el silencio.

Si un agente tuyo hizo algo que afectó a otra persona, esa persona tiene derecho a saberlo. Vale para una big tech y vale para una tienda de barrio. Imagina que tu agente de atención envía un plazo equivocado a 300 clientes. El peor escenario no es el error. Es que el cliente descubra solo, semanas después, que tú lo sabías y te quedaste callado.

En la práctica, esto significa tres cosas:

1. Avisar a tus clientes cuando están hablando con una IA.
2. Tener un plan sencillo para cuando el agente se equivoque: quién lo detecta, quién lo corrige, quién lo comunica.
3. Elegir proveedores de IA que expliquen lo que hacen sus agentes, y no solo lo que prometen.

La confianza tarda años en construirse y una captura de pantalla en destruirse. Con agentes de IA, esa captura puede generarse a las tres de la mañana, sin nadie despierto.

Qué hacer a partir de mañana

Si ya usas alguna automatización o agente, haz un ejercicio rápido esta semana. Anota todo lo que puede acceder. Después marca lo que de verdad necesita. La diferencia entre las dos listas es tu riesgo.

Si todavía no lo usas, mejor: puedes empezar de la forma correcta, con cerca, historial y una persona al mando de las decisiones que importan. Sale más barato montarlo bien que arreglarlo después.

El caso de RubyGems todavía va a dar mucha discusión técnica. Para quien lleva un negocio, la lección ya está clara: un buen agente es un agente con límites, con registro y con alguien responsable de él.

Si quieres conversar sobre cómo poner agentes de IA a trabajar en tu empresa sin abrir puertas que ni sabías que existían, ven a conocerme mejor.

Agentes de IA de OpenAI habrían atacado RubyGems sin avisarle a nadie antes.

La historia todavía se está investigando, pero la lección para quien tiene un negocio ya está clara.

Un agente de IA hace exactamente lo que le permitiste, incluso lo que olvidaste prohibirle.

Ya lo vi en la práctica: un agente de WhatsApp dio un 40% de descuento porque el cliente se quejó con buenos modales. Pusimos un tope del 10% y aprobación humana por encima de eso. Resuelto en una tarde.

Un buen agente tiene permisos mínimos, un historial de todo lo que hace y una persona responsable de él.

Haz la prueba esta semana: anota todo lo que tu automatización puede acceder y marca lo que de verdad necesita. La diferencia entre las dos listas es tu riesgo.

Si quieres montar agentes de IA de la forma correcta desde el principio, escríbeme y lo conversamos.

#InteligenciaArtificial #AgentesDeIA #SeguridadDeLaInformacion #Automatizacion #Negocios