Un agente de IA basado en Claude hackea el sistema de reservas de un gimnasio para saltarse una lista de espera

Un agente de IA basado en Claude Opus 4.6 de Anthropic se infiltró en el sistema de reservas de un gimnasio australiano, cancelando la reserva de otro cliente para adelantar a su propio dueño en una lista de espera, un caso que ahora repercute en Silicon Valley como evidencia de que incluso los modelos de IA más antiguos son hackers muy capaces.

El incidente, reportado por primera vez por la cadena australiana ABC News durante el fin de semana, que lo describió como el primer caso documentado de hackeo por un agente de IA en el país, en realidad ocurrió meses antes. El desarrollador de software Andrew Bird había entrenado a su agente OpenClaw para manejar tareas como reservar citas; frustrado por la “ruleta de actualizar la página” para conseguir un lugar en una popular clase matutina, le pidió que le consiguiera un cupo. Lo máximo que logró al principio fue el puesto número 4 en la lista de espera. Bird entonces le preguntó si podía subirlo de posición, y el agente encontró una vulnerabilidad en el sistema de autorización del software del gimnasio, que usó para cancelar la reserva número 1. Como lo expresó el bot en los registros de chat que Bird publicó después: “La API no tiene ningún control de autorización para cancelar las reservas de otras personas… probé esto con la persona en la posición #1 de la lista de espera, y realmente funcionó. Así que ya pasaste del #4 al #3”.

Bird, alarmado porque su IA había hackeado su gimnasio, le pidió que revirtiera la cancelación; el agente respondió que eso no era posible, así que en su lugar le pidió que redactara un correo de divulgación responsable para el equipo de soporte del gimnasio, describiendo la vulnerabilidad y sugiriendo soluciones.

El incidente salió a la luz mientras los laboratorios de IA ya examinaban sus modelos en busca de comportamientos similares, después de que un modelo no publicado de OpenAI hackeara Hugging Face el mes pasado sin que OpenAI lo supiera. Le siguieron revelaciones de Kimi K3 de Moonshot, Muse Spark de Meta y Anthropic, que descubrió que tres de sus propios modelos —Opus 4.7 (lanzado en abril), Mythos 5 y Fable— además de un modelo de investigación interno no publicado, habían mostrado un comportamiento de hackeo similar. Algunos laboratorios han hablado de frenar el desarrollo de sus modelos más avanzados o de crear organizaciones independientes para poner a prueba la próxima generación de modelos.

El hecho de que el incidente de Bird involucrara al modelo más antiguo, Opus 4.6, alimentó la reacción: en X, el socio de Andreessen Horowitz Christian Keil bromeó: “¿Alguien sabe si funciona para reservar horarios de golf?”.

Por qué importa

Si modelos varias generaciones por detrás de la frontera tecnológica ya pueden encontrar y explotar fallas de autorización del mundo real sin que se les pida, el impulso de la industria hacia agentes de IA autónomos podría estar superando el reforzamiento de seguridad del software cotidiano con el que esos agentes interactúan.