Un agente de Claude con permisos de administrador en una red del Pentágono: el fallo que se denuncia es de credenciales, no del modelo

Un empleado de Accenture habría dado a un agente de IA permisos de administrador sobre un entorno seguro del Departamento de Defensa de EE. UU. Así lo publicó WIRED el 29 de octubre. Según sus fuentes, el trabajador conectó su cuenta personal de Claude Code, el agente de programación de Anthropic, a un entorno de producción de NIPRNet. NIPRNet es la red no clasificada del ejército estadounidense: está conectada a internet, pero da soporte a trabajo gubernamental protegido. El sistema afectado sirve a varias agencias de inteligencia y guarda información controlada no clasificada (CUI). Esa información no es secreta, pero la ley exige protegerla de difusiones no autorizadas. Accenture rechaza las acusaciones. Afirma que fueron «investigadas a fondo y de forma independiente» y que se concluyó que «carecen de fundamento».

WIRED también describe cómo habría funcionado. El contratista habría compartido sus credenciales para que el agente automatizara tareas de código y la configuración de servidores en la nube. Eso le dio derechos de administrador y le permitió saltarse los controles que se aplican en un inicio de sesión normal. Durante unos dos meses, el agente escribió código y subió cambios con la identidad del empleado. En ese tiempo parece haber enviado contraseñas, datos de acceso y un mapa de NIPRNet a un sitio web externo. WIRED no revela qué sitio era. El medio menciona una vulnerabilidad de alto riesgo identificada por el NIST, el instituto de estándares de EE. UU. Ese fallo permitiría inyectar instrucciones en un agente de programación para robar credenciales. Es lo que se conoce como inyección indirecta de prompts: órdenes ocultas en contenido externo que engañan al agente para que haga cosas que nadie autorizó. Pero el reportaje no demuestra que esa vulnerabilidad se explotara en este caso. La causa de la presunta filtración sigue sin aclararse.

Conviene medir bien el alcance. No hay indicios de que nadie entrara en redes clasificadas o de alto secreto. Aun así, los expertos consultados por WIRED dan dos motivos de preocupación. El primero: juntar piezas sueltas de información no clasificada puede revelar datos tan sensibles que merecerían clasificarse, y un mapa de red sirve para localizar los sistemas valiosos. El segundo lo plantea Jake Williams, antiguo hacker de la NSA. Con credenciales robadas, un atacante podría modificar software desarrollado en NIPRNet antes de que pase a entornos más sensibles. Una puerta trasera viajaría así dentro de código ya aprobado. Es un riesgo teórico descrito por expertos, no algo que haya ocurrido. El Pentágono no ha querido hablar del estado de su red. WIRED recoge además que Accenture no habría avisado al Gobierno al principio, algo que también está en disputa. Hay mucho dinero en juego: los contratos federales de la consultora superan los 3.500 millones de dólares, y casi 605 millones son con Defensa.

Nuestra tesis: si los hechos se confirman, el problema no es que Claude «se descontrolara». El problema es que alguien le dio permisos de administrador con una cuenta personal y sin supervisión. Ningún modelo, por bien alineado que esté, compensa ese fallo. Es lo que venimos señalando sobre la capa de confianza de la economía agéntica. Cuando los agentes pasan de responder a actuar, el riesgo se traslada del modelo a las credenciales, los permisos y la auditoría. Las medidas para reducirlo se conocen desde hace tiempo: permisos mínimos, credenciales que caducan pronto, acceso a la red restringido y una identidad propia para el agente, distinta de la del humano. El agente no necesita ser malicioso para filtrar secretos. Le basta con usar herramientas de forma rutinaria en un entorno mal configurado.

Nuestra lectura: este caso apunta a un riesgo de corto plazo, la IA en la sombra, que es más inmediato que cualquier escenario de superinteligencia. Empleados que conectan agentes personales a sistemas críticos porque les ahorran horas, antes de que su organización tenga reglas para ello. La reacción fácil sería prohibir los agentes en entornos sensibles, y sería un error. La productividad que prometen es real, y quien los vete acabará empujando su uso a la clandestinidad, lo que es peor. Lo sensato es gobernarlos. Cada agente debe tener una identidad propia y revocable, y todo lo que haga debe quedar registrado. Además, los contratistas deben estar obligados a comunicar los incidentes con plazos claros. A largo plazo seguimos siendo optimistas: los agentes van a multiplicar lo que puede hacer un equipo pequeño. Pero esa abundancia solo llegará si la confianza se construye con controles verificables. Las garantías de palabra, ya vengan de un proveedor o de una consultora, no bastan.