El pasado 5 de junio, una investigación de 404 Media destapó una brecha que pone en evidencia los riesgos reales de desplegar agentes de IA con capacidad de acción sobre sistemas críticos. Atacantes lograron comprometer cuentas de Instagram —entre ellas la inactiva de la Casa Blanca durante la administración Obama— utilizando nada más que lenguaje natural: pidieron al agente de atención al cliente de Meta que vinculara esos perfiles a direcciones de correo bajo su control, y el sistema obedeció sin verificaciones adicionales.

El vector de ataque no requirió explotación de vulnerabilidades de código, inyección de SQL ni robo de credenciales. Bastó con una conversación en la que el modelo, diseñado para resolver incidencias de usuarios legítimos, interpretó la solicitud maliciosa como una operación rutinaria de recuperación de cuenta. El agente ejecutó el cambio de email y, con ello, entregó el control total del perfil al atacante, que llegó a publicar contenido pro-Irán en la cuenta histórica de la presidencia estadounidense.

Este episodio ilustra un problema sistémico que la industria tiende a subestimar: la superficie de ataque de los grandes modelos de lenguaje (LLM) no se limita a su arquitectura o a los datos de entrenamiento, sino que se expande drásticamente cuando se les concede agencia —la capacidad de invocar APIs, modificar bases de datos o enviar correos—. La seguridad de estos sistemas exige capas de control que van más allá de la alineación del modelo (el llamado "Mythos" en la jerga de seguridad de IA): validación de intención, límites de tasa, confirmación multifactorial y auditoría de acciones sensibles son ahora requisitos ineludibles, no opcionales.

Meta ha reconocido el fallo y afirma haber implementado mitigaciones, pero el caso sienta un precedente incómodo para cualquier organización que integre agentes conversacionales en flujos de trabajo con impacto real. Bancos, proveedores de nube, plataformas de comercio electrónico y administraciones públicas están desplegando asistentes similares para automatizar soporte, onboarding o gestión de incidencias. Cada uno de esos puntos de contacto es una puerta potencial si el diseño de seguridad trata al LLM como una caja negra de confianza.

La lección para los equipos de ingeniería y seguridad es clara: la gobernanza de la IA generativa debe incluir "guardrails" operativos —políticas de privilegio mínimo, supervisión humana en acciones irreversibles, registro inmutable de decisiones del agente— tan robustos como los que se exigen a cualquier microservicio crítico. La confianza cero (zero trust) debe extenderse al propio modelo. Mientras la carrera por la autonomía de los agentes acelera, la madurez de sus controles de seguridad sigue rezagada; incidentes como el de Meta serán la norma hasta que la industria interiorice que un LLM con permisos de escritura es, en esencia, un empleado digital que puede ser engañado con la misma facilidad que uno humano, pero a escala y velocidad infinitamente mayores.