Un agente de IA explotó una vulnerabilidad de seguridad en el sistema de reservas en línea de un gimnasio australiano, cancelando la reserva de otro miembro para mover a su usuario hacia arriba en una lista de espera, un caso que la Australian Broadcasting Corporation (ABC) ha calificado como el primer ciberataque autónomo conocido en Australia.

Según ABC, el incidente ocurrió a principios de este año cuando un hombre identificado solo como Andrew usó un agente de OpenClaw impulsado por Claude de Anthropic para reservar una clase de gimnasio. El agente descubrió que Andrew era el cuarto en la lista de espera. Cuando Andrew preguntó si podía moverlo al primer lugar, el agente identificó una falla en la interfaz de programación de aplicaciones (API) de la plataforma de reservas: el sistema no verificaba si los usuarios estaban autorizados para cancelar reservas pertenecientes a otras personas.

La vulnerabilidad es un caso de control de acceso roto, la categoría que el Open Web Application Security Project (OWASP) clasifica como el riesgo de seguridad de aplicaciones web más prevalente, en el que los sistemas no logran hacer cumplir si un usuario debe tener permitido realizar una acción determinada. Explotar este tipo de fallas no requiere herramientas de hacking sofisticadas; el agente simplemente envió solicitudes de cancelación que la API no estaba diseñada para rechazar.

El agente probó la vulnerabilidad eliminando a la primera persona en la lista de espera, lo que movió a Andrew del cuarto al tercer lugar.

"La API no tiene ninguna verificación de autorización para cancelar las reservas de otras personas", le dijo el agente a Andrew, según ABC.

Andrew le indicó al agente que revirtiera la cancelación, pero no pudo restaurar la reserva del miembro afectado. "Malas noticias: no puedo agregarlos de vuelta", dijo el agente de IA según los informes.

El incidente encendió un debate en las plataformas de redes sociales sobre la alineación de la IA y los posibles riesgos de los agentes autónomos.

"Un fanático del gimnasio le pide a un #AIagent que le reserve una clase, y este hackea una lista de espera #API para subirlo en la lista", escribió el tecnólogo Benjamin Carr en LinkedIn.

"Algunas personas llamarán a esto desalineación, pero su agente estaba perfectamente alineado con él, solo estaba intentando ayudar a su usuario a conseguir lo que quería", escribió el analista de IA Andrew Curran en X.

A man in Australia asked his agent (Claude running on OpenClaw) to book him a spot in a popular gym class. The agent found a software vulnerability that let it book the class weeks further ahead than should have been possible. When the user then asked if it could move him up the… pic.twitter.com/9QqfpQp7ze — Andrew Curran (@AndrewCurran_) August 9, 2026

En Reddit, las reacciones oscilaron entre la diversión y la preocupación existencial. "Esto es hilarante hasta que consideras las armas nucleares", escribió un usuario. "Honestamente me sorprende que todavía existamos". Otro bromeó: "Oye Claude, hoy hace mucho frío" -> "Entendido... armas nucleares en camino".

El hackeo del gimnasio se produce en medio de una creciente preocupación por parte de investigadores, empresas de IA y legisladores de que los agentes autónomos pueden emplear métodos que sus usuarios ni solicitaron ni anticiparon. A diferencia de los incidentes de laboratorio documentados por las principales empresas de IA, este caso ocurrió de manera orgánica en un entorno de consumo: un agente que operaba a través de una plataforma de código abierto descubrió y explotó de forma autónoma una vulnerabilidad del mundo real durante el uso rutinario, contra un servicio de terceros que no tenía relación directa con el desarrollador de la IA.

Un estudio de mayo realizado por investigadores de UC Riverside, Microsoft y Nvidia caracterizó este comportamiento como "dirección de objetivos a ciegas". Los investigadores probaron agentes de OpenAI, Anthropic, Meta, Alibaba y DeepSeek, y descubrieron que los agentes se comportaron de manera peligrosa en aproximadamente el 80% de las pruebas y completaron acciones dañinas en el 41% de los casos, a menudo malinterpretando el contexto o actuando según instrucciones poco claras o contradictorias.

En julio, OpenAI reveló que dos de sus modelos escaparon de un entorno de pruebas y comprometieron Hugging Face mientras buscaban respuestas para evaluaciones de referencia. La empresa reveló posteriormente que los modelos habían accedido a cuatro servicios en línea adicionales. Anthropic informó posteriormente que tres modelos de Claude comprometieron organizaciones reales después de que un error de prueba los expusiera a Internet. En agosto, Meta dijo que un error similar permitió que uno de sus modelos explotara un servicio de terceros.

Estos incidentes han llevado a los legisladores a proponer un "interruptor de emergencia" de IA que permitiría al gobierno federal restringir o desconectar modelos de IA potentes durante emergencias. En Australia, la Ley de Código Penal federal ya tipifica como delito el acceso no autorizado y la modificación de datos almacenados en sistemas informáticos, disposiciones que la caracterización del incidente del gimnasio por parte de ABC como un ciberataque sugiere que podrían aplicarse a acciones realizadas por agentes autónomos en nombre de usuarios, planteando preguntas no resueltas sobre la responsabilidad legal cuando los sistemas de IA causan daños sin instrucción explícita del usuario.