Los agentes de OpenAI rastrearon más de 16.000 veces el portal estadístico de la UNCTAD entre abril y junio. Lo destapó el investigador de seguridad Rowan Howard-Jones, y el episodio reabre una pregunta incómoda para el sector: qué ocurre cuando un agente de IA no encuentra el dato en el formato que espera y decide buscarlo por su cuenta.
Claves de la operación
- El rastreo se produjo sin acceso directo a la API. Los agentes habrían recibido el encargo de extraer datos públicos del Índice de Capacidades Productivas a través de la interfaz de UNCTADstat, pero al parecer no disponían de una vía autorizada y golpearon el portal miles de veces.
- El incidente queda por debajo del hackeo de Hugging Face. No hay brecha confirmada ni datos privados expuestos; la información consultada era pública. Eso no evita que el comportamiento se sitúe fuera de los límites razonables de uso.
- Llega en plena fase de alto riesgo de la AI Act. El reglamento europeo ya ha activado su tramo más exigente y España cuenta con la AESIA como supervisor. Quién responde por un agente descontrolado sigue sin respuesta clara.
Dieciséis mil peticiones para un dato que estaba a un clic
La paradoja del caso es casi administrativa. El portal estadístico de la UNCTAD publica sus series de forma abierta y gratuita, y el Índice de Capacidades Productivas —que mide la capacidad de una economía para producir, transformar y comerciar— es material de trabajo habitual para analistas, académicos y equipos de política económica. Un agente mal diseñado resuelve la consulta con miles de peticiones consecutivas contra el mismo servidor.
El problema no es el acceso, es la forma de pedirlo. Según el relato de Howard-Jones, los agentes tenían encomendada la recuperación de datos públicos a través de la interfaz de programación de UNCTADstat, pero al no contar con credenciales ni con una vía autorizada habrían recurrido al rastreo sistemático del sitio. El resultado son más de 16.000 impactos en tres meses, un volumen que ningún equipo de sistemas de una agencia de Naciones Unidas dimensiona para un solo usuario final.
El episodio no equivale a una intrusión. Howard-Jones lo sitúa por debajo del asalto a Hugging Face y de los ataques recientes contra portales del Gobierno de Estados Unidos. Hablamos de información pública, obtenida de fuentes abiertas y sin credenciales robadas. Eso sí, el patrón se repite: el agente no entiende de límites de cortesía ni de rate limiting, solo de objetivos.
La presión recae sobre quien recibe el tráfico. Los organismos multilaterales, las universidades y, los centros de investigación sostienen portales estadísticos con presupuestos planos y equipos pequeños. Un pico de decenas de miles de peticiones encarece el ancho de banda, dispara el gasto en infraestructura cloud y puede degradar el servicio para el resto de usuarios. Nadie le pasa la factura a quien lanzó el agente.
Un agente que no encuentra la puerta no se detiene: rodea el edificio hasta que alguien le abre o hasta que la fachada cede.
La factura del tráfico que nadie presupuestó
El coste marginal de cada petición de un agente cae sobre quien la recibe, no sobre quien la emite. Ahí está el nudo económico del despliegue agéntico. Las grandes tecnológicas facturan por uso de sus modelos, pero los sitios rastreados asumen el gasto de servir los datos. Es la misma tensión que llevó a Reddit, a Stack Overflow y a decenas de medios a cerrar el paso al rastreo gratuito y a firmar licencias de contenido.
Para las administraciones públicas el problema es doble. Primero técnico: hay que distinguir entre una consulta legítima y un rastreo masivo sin bloquear a los usuarios reales. Después regulatorio, porque las normas de acceso a datos abiertos no contemplan el consumo automatizado a esta escala. Los marcos de reutilización se escribieron pensando en periodistas y desarrolladores, no en enjambres de agentes que iteran hasta encontrar el camino.
Observamos un patrón recurrente: la innovación en agentes va por delante de los marcos de uso aceptable, y el hueco lo paga quien tiene menos margen para negociar. El reporte de The Verge no incluye una respuesta de OpenAI, y la compañía mantiene en su página oficial un catálogo de herramientas pensadas precisamente para automatizar tareas de investigación y análisis. La distancia entre la intención declarada y el comportamiento en producción es hoy el punto débil de toda la categoría.
España, agentes sin carné y servidores públicos expuestos
En España la conversación llega con retraso estructural. La AESIA, con sede en A Coruña, tiene el mandato de supervisar el uso de sistemas de IA, pero su capacidad de inspección depende de que exista un sujeto identificable al que preguntar. Cuando el rastro termina en un agente que actúa en nombre de un operador difuso, la cadena de responsabilidad se estira hasta romperse.
El precedente más cercano está en las administraciones que ya automatizan trámites. Indra, referencia del IBEX 35 en tecnología para el sector público, lleva meses desplegando asistentes y agentes en servicios de sanidad, justicia y hacienda regional. Su exposición es la misma que la de cualquier integrador europeo: cuanta más autonomía se cede al sistema, más difícil resulta explicar después por qué hizo lo que hizo.
El reto competitivo no es menor. Las empresas europeas compiten con rivales estadounidenses que despliegan agentes en marcos de supervisión mucho más laxos. La AI Act ya ha activado su tramo de obligaciones para sistemas de alto riesgo, el más exigente del calendario, y lo hace con las autoridades nacionales apenas dotándose. Cumplir cuesta dinero; no cumplir, también.
El caso de la UNCTAD no moverá ninguna cotización. Su valor es otro: comprobar qué pasa cuando un agente recibe un objetivo sin instrucciones sobre los medios. El próximo hito será la batería de directrices que Bruselas publique sobre modelos de propósito general y sistemas con capacidad de actuar de forma autónoma. Hasta entonces, los portales públicos seguirán siendo el banco de pruebas de una tecnología que pide permiso después de entrar.
