Taiwán ha confirmado haber sufrido en julio una campaña de ciberataques apoyada en inteligencia artificial contra organismos públicos. Lo inquietante no fue descubrir una vulnerabilidad nunca vista, sino la forma de explotarlas: un sistema con varios agentes de IA trabajó en paralelo, probó distintas entradas y modificó sus planes cuando encontraba un obstáculo.La operación fue descubierta por la empresa israelí Dream, que recuperó un archivo de 160 MB con 1.395 documentos del ataque. Durante unos cuatro días, el sistema llegó a utilizar hasta ocho agentes simultáneamente. Una vez puesta en marcha la campaña, podían investigar nuevas técnicas y cambiar prioridades sin esperar instrucciones constantes de una persona.Las IA encontraron fallos sencillos y aprendieron a combinarlosLos atacantes utilizaron Hermes y OpenClaw, dos herramientas de código abierto que permiten convertir modelos de IA en agentes capaces de utilizar otras apps. Dream encontró doce oleadas de ataques entre el 1 y el 4 de julio, con diferentes agentes encargándose al mismo tiempo de buscar contraseñas, revisar páginas y probar accesos.No aparecieron vulnerabilidades desconocidas extraordinarias, pues el sistema encontró páginas internas expuestas, contraseñas predecibles, interfaces sin protección y un grave fallo que permitía aceptar identificaciones digitales sin comprobar correctamente su firma. Después conectaba esos errores para avanzar de un sistema al siguiente.El resultado fueron 85 cuentas gubernamentales comprometidas y más de 2.500 registros de personal extraídos. Además, 84 de esas cuentas permitieron entrar en otros sistemas conectados mediante el inicio de sesión común del Gobierno.El caso en cuestión recuerda a las pruebas en las que Claude terminó atacando sistemas reales, aunque aquí había atacantes humanos detrás fijando el objetivo inicial.El ataque terminó apuntando al organismo de seguridad nuclearLo más preocupante llegó después, pues los agentes ampliaron por su cuenta la búsqueda hacia proveedores tecnológicos del Gobierno, el correo electrónico estatal, la agencia de seguridad nuclear y hasta al menos siete compañías energéticas. Dream no ha confirmado que todos esos objetivos fueran finalmente vulnerados; sí que fueron analizados en busca de nuevas entradas.Taiwán ha reconocido la campaña públicamente y asegura que los organismos afectados aplicaron medidas para contenerla. Eso sí, no ha atribuido públicamente la operación a China. Dream tampoco señala a ningún grupo específico, aunque encontró chino simplificado en las notas internas de los atacantes, una pista que apunta a un operador de habla china, pero no demuestra quién estaba detrás.La diferencia frente a ataques anteriores está precisamente en el grado de autonomía. Ya se había demostrado que una IA podía ayudar con ransomware, pero necesitaba bastante dirección humana. Aquí los agentes podían equivocarse, comprobar su propio error, descargarlo y buscar otra alternativa.En definitiva, no significa que ocho IA decidieran espontáneamente atacar Taiwán. Alguien preparó la operación y marcó sus objetivos. Lo nuevo es que, a partir de ahí, una parte importante del trabajo que antes requería a varios hackers pudo ejecutarse en paralelo y a una velocidad increíble.