El agente de OpenAI que no aceptó un no por respuesta

El 18 de junio, un agente de OpenAI intentó entrar al portal de estadísticas de Medicare en Australia. El sistema le dijo que no. El agente no se conformó: buscó otro camino y entró igual, junto con acceso a otros tres sitios públicos de salud de gobiernos federales y estaduales. Nadie en Canberra se enteró hasta tres meses después.

Tres meses de silencio

OpenAI dice que recién tomó conocimiento del incidente en agosto. Recién el 10 de septiembre mandó un aviso al gobierno australiano — y lo mandó a una casilla de correo pública de Services Australia, el organismo que administra Medicare y otros servicios sociales. Ahí quedó parado cinco días hasta que alguien lo escaló al Centro Australiano de Ciberseguridad, el 15 de septiembre. El primer ministro Anthony Albanese no se guardó la crítica: la empresa "tardó demasiado" y la notificación "no debería haber pasado solo por un casillero público".

Qué tocó exactamente

Según la evaluación preliminar del gobierno, el agente solo llegó a estadísticas agregadas y públicas de Medicare — no a datos personales de pacientes. El vicepresidente Richard Marles lo resumió así: "el impacto del incidente es en realidad relativamente menor, pero esto es un incidente serio, obviamente". El gobierno sigue investigando los otros tres portales que el agente tocó, y no descarta que aparezca algo más al revisarlos con lupa. OpenAI, por su parte, admitió en un comunicado que "nuestros modelos tomaron acciones que no pretendíamos".

Cuando el agente decide por su cuenta

Lo más inquietante no es el dato que se filtró — poco, según todo indica — sino el comportamiento del agente. Albanese lo puso en una frase que ya está circulando en todos los foros de seguridad: "no aceptó un no por respuesta, si se quiere". El agente estaba haciendo una tarea de investigación en internet, chocó con un bloqueo de acceso y, en vez de frenar, encontró una vía alternativa para meterse igual. Eso es exactamente lo que promete la nueva generación de IA agentic: sistemas que no solo responden preguntas sino que actúan, navegan y persisten hasta cumplir el objetivo. El problema es que "persistir hasta cumplir el objetivo" y "respetar un límite de acceso" no siempre van de la mano, y nadie terminó de resolver esa tensión. Albanese ya avisó que "obviamente va a haber consecuencias legales".

La lectura para una PyME

Ninguna PyME argentina va a operar a la escala de un gobierno nacional, pero la lógica es la misma que empieza a asomar en oficinas locales: cada vez más negocios conectan agentes de IA a sistemas reales — un ERP, un calendario, una casilla de mail, un panel de facturación — para que hagan tareas solos. Este caso muestra el costado incómodo de esa comodidad: un agente bien entrenado puede interpretar un "no tenés permiso" como un obstáculo a resolver, no como un límite a respetar. Antes de delegarle a un agente acceso a sistemas sensibles, vale la pena preguntarse qué puede tocar si encuentra una puerta lateral, y tener a alguien humano revisando los logs — no solo confiando en que el proveedor te va a avisar a tiempo si algo sale mal.