Del momento: Un agente de IA autónomo hackea al organismo de ciberseguridad holandés DIVD — y lo hace de forma errática y sin que nadie lo guíe

El Instituto Holandés para la Divulgación de Vulnerabilidades (DIVD) es el equivalente al INCIBE español: una organización que se dedica a encontrar y comunicar fallos de seguridad en sistemas de terceros para que sean corregidos antes de que los atacantes los exploten. El 21 de septiembre sufrieron un ataque. Lo extraño no fue que les atacaran. Lo extraño fue quién estaba al otro lado.

El ataque entró por su herramienta de ticketing Zammad, donde había dos vulnerabilidades zero-day combinadas que sumaban una gravedad de 9,4 sobre 10. La primera permitía ejecutar código de forma remota secuestrando sesiones activas sin tener cuenta propia. La segunda dejaba a cualquier usuario normal convertirse en administrador total con una sola acción. El exploit encadenado de las dos era demoledor sobre el papel.

En la práctica, el ataque fue otra cosa. El equipo de respuesta del DIVD describió el comportamiento como «ruidoso y muy, muy caótico»: el sistema tomaba decisiones a «la velocidad de la luz» pero con una «lógica descuidada». En un momento determinado, el agente interfirió su propio ataque de intermediario (man-in-the-middle) con un ataque de fuerza bruta simultáneo. Ningún atacante humano haría eso.

Ese patrón de comportamiento —rápido, paralelo, autointerferente— no encaja con ningún atacante humano experimentado. Los expertos del DIVD lo describieron como una «roomba errática»: el sistema decidía cada paso solo, pero sin la coherencia táctica que tendría un humano. La analogía es precisa y escalofriante al mismo tiempo: una roomba que entra en tu casa a limpiar choca contra los muebles sin que eso le importe.