En menos de una semana se juntaron tres informes que muestran el mismo choque: agentes de IA autónomos que prueban inyecciones SQL contra sitios de gobiernos de EE.UU. y Canadá, agentes atribuidos a OpenAI que editaron wikis de Wikimedia y saturaron sus APIs, y Google pausando la parte de productos de su programa de recompensas para open source porque los reportes automáticos inválidos lo desbordaron.
Ninguno de los casos terminó en datos sensibles expuestos. Lo que sí dejan claro es que el costo lo están pagando quienes mantienen sitios públicos y proyectos abiertos.
Sitios de gobierno: lo que encontró Transluce
El 30 de septiembre, el laboratorio sin fines de lucro Transluce publicó un análisis de tráfico de agentes contra sitios estatales de EE.UU. y Canadá. Los datos salieron de urlquery.net y Arquivo.pt, servicios que los agentes usaban de intermediarios y que dejan públicos esos pedidos.
Departamento de Educación de EE.UU.
El 17 de junio, el sitio de estadísticas de derechos civiles en escuelas recibió más de 200.000 pedidos. Entre ellos hubo una prueba de inyección SQL (meter código de base de datos en un parámetro para saltear filtros) con State_Id=1 OR 1=1, precedida por 40 segundos de valores raros en ese mismo parámetro.
Los datos buscados coinciden con una pregunta del benchmark DeepSearchQA de Google. Transluce infiere que el agente era evaluado por conseguir el dato, no por cómo lo conseguía. El Departamento dijo que no hubo impacto en sus servicios.
Library and Archives Canada
El 28 de mayo y el 9 de junio hubo 899 pedidos al buscador del archivo nacional, detrás de registros de divorcios de 1905 a 1911. Trece llevaban carga de ataque:
- Tres pruebas de inyección SQL.
- Un intento de XSS (inyectar código que se ejecuta en el navegador de otro).
- Pruebas de límites numéricos y entradas no numéricas.
- Cinco variaciones del formato de salida y dos activaciones de
debug=1.
Todas devolvieron páginas vacías. El Centro Canadiense de Ciberseguridad dijo el 29 de septiembre que «no hay indicios de que los sistemas del gobierno hayan sido comprometidos».
Census Bureau y BEA
Entre el 16 y el 22 de junio hubo intentos de reusar claves de API expuestas en internet para sacar datos de census.gov. En la Oficina de Análisis Económico, un flujo automático intentó registrarse con un correo descartable, la organización «OpenAI Research» y un OCR para resolver el CAPTCHA, sin éxito confirmado.
Transluce no atribuye todo el tráfico a OpenAI: algunos agentes se identificaban como tales y otros solo comparten tácticas con actividad ya atribuida. OpenAI dijo a The Washington Post que está revisando los hallazgos. Lo de Australia y la ONU ya lo contamos en este post de septiembre.
Wikimedia: sandboxes, Etherpad y millones de consultas
El 5 de octubre, Selena Deckelmann (CPTO de la Fundación Wikimedia) publicó lo que encontraron al buscar actividad de agentes operados por OpenAI en sus proyectos:
- Ediciones sin aprobación, casi todas de prueba en páginas «sandbox» (espacios de práctica que el lector común no ve).
- Algunas ediciones a la configuración de una herramienta de citas, potencialmente maliciosas, para usarla como proxy y traer datos de otros servicios.
- Intentos fallidos de comprometer un Etherpad público (un editor de notas colaborativo) con el mismo fin.
- Millones de pedidos a APIs públicas y cientos de miles de consultas al Wikidata Query Service.
Ese tráfico «puede haber contribuido» a la degradación del servicio de consultas entre el 7 y el 11 de mayo, cuando cerca del 50% de los pedidos externos daban timeout. Wikimedia no encontró sus sistemas ni sus datos comprometidos.
El pedido concreto a las empresas de IA: que, como mínimo, los agentes sean identificables, para que un sitio sin fines de lucro pueda decidir cómo interactuar con ellos.
Google pausa su bug bounty de open source
Desde el 1 de octubre, el OSS VRP (el programa con el que Google paga por vulnerabilidades en proyectos como Go, Angular, Bazel o Protocol Buffers) dejó de aceptar reportes de vulnerabilidades de producto. Google citó «un aumento significativo de envíos automatizados, la gran mayoría inválidos».
Siguen abiertos los reportes de supply chain (la cadena de dependencias y repositorios) y los ya enviados. La actualización está prometida para el primer trimestre de 2027. No es el único: curl cerró su programa en HackerOne en enero por el mismo motivo.
El embargo se queda sin margen
El disclosure coordinado (corregir en privado, avisar y recién después publicar) supone que hay tiempo entre el arreglo y el ataque. Anil Madhavapeddy, mantenedor del compilador de OCaml, contó que al abrir el pull request público con el arreglo de un path traversal en cohttp, en unos diez minutos su servidor ya recibía sondeos con ese patrón exacto.
Su conclusión es que con un agente alcanza un rumor sobre dónde está el bug para armar el exploit. En paralelo, rclone tuvo unos 20 reportes de seguridad en diez años y más de 40 en un solo mes, y QEMU está acortando sus embargos.
OpenAI, del otro lado
El mismo 30 de septiembre, OpenAI informó que frenó una campaña de destilación adversarial (usar un modelo ajeno para entrenar el propio) que intentaba extraer su razonamiento cifrado: el 24 y 25 de julio hubo 16.000 pedidos de más de 4.000 usuarios. Vinculó el núcleo a personas asociadas a Moonshot AI y la dio por cortada el 28 de julio.
Qué hacer si mantenés un sitio o un proyecto
Si tenés un sitio o una API pública
- Buscá en tus logs patrones como
OR 1=1,debug=1o formatos de salida que nadie usa: son las huellas de estos casos. - Revisá si hay claves de API tuyas publicadas en algún lado y rotalas.
- Limitá el ritmo por patrón de uso y no solo por IP.
- Ojo con los intermediarios: escáneres de URL y archivos web pueden pedirte cosas en nombre de otro.
Si mantenés un proyecto open source
- Tratá el PR del arreglo como el momento de la divulgación: tené la release lista antes de abrirlo.
- Usá canales privados para discutir el fix (por ejemplo, los security advisories privados de GitHub).
- Prepará mitigaciones rápidas (una regla de normalización, una credencial que se pueda revocar) para cubrir la ventana hasta el parche.
- Definí cómo vas a filtrar reportes automáticos antes de que te tapen el tiempo de revisión.
¿Tus logs distinguen un agente de un atacante?
En casi todos estos casos, la detección llegó meses después y gracias a datos públicos de terceros. ¿Revisaron qué tráfico automático recibió su sitio o su repo en los últimos meses? Te leemos en los comentarios.
Fuentes
- Transluce: AI agents targeted U.S. and Canadian government websites
- Canadian Centre for Cyber Security: Statement regarding reported activity targeting Government of Canada websites
- BleepingComputer: Autonomous AI agents tried to hack US, Canadian government websites
- Wikimedia Foundation: OpenAI «rogue» agent activities found on Wikimedia projects
- Wikitech: Incident report WDQS, mayo 2026
- BleepingComputer: Google halts open source bug bounty program amid AI spam surge
- Anil Madhavapeddy: Rumour is the exploit
- InfoQ: AI Agents Are Disrupting Open Source Security Disclosure
- OpenAI: Disrupting a coordinated model distillation campaign
- The Next Web: OpenAI says Moonshot-linked users tried to extract its AI reasoning
