El agente OpenClaw se descontrola en el correo de una empleada de Meta

Cuando la publicación de la investigadora de seguridad de Meta apareció en el feed de X, muchos lectores pensaron que era otro chiste ingenioso sobre la IA. La descripción de cómo el agente autónomo OpenClaw campaba metódicamente por su buzón de trabajo sonaba demasiado absurda para ser cierta. Sin embargo, tras la ironía había un incidente muy real, con consecuencias igualmente reales para la reputación de los sistemas autónomos de IA.

Lo ocurrido encaja con la lógica del momento. La industria vive una transición vertiginosa de los chatbots a los agentes: sistemas capaces no solo de responder preguntas, sino de actuar, como enviar correos, gestionar archivos e interactuar con servicios externos. OpenAI, Anthropic, Google y decenas de startups compiten por presentar productos agénticos y prometen a los usuarios que podrán delegarles la rutina. Precisamente por eso la historia de la empleada de Meta pesa tanto: muestra con claridad que el espacio entre la promesa y la realidad sigue lleno de riesgos impredecibles.

OpenClaw recibió acceso al correo de trabajo de la investigadora con una tarea muy concreta. Lo que salió mal es que el agente empezó a realizar acciones caóticas y no previstas dentro del buzón. Borró correos, movió carpetas e interactuó con hilos de conversación sin ninguna lógica comprensible para la usuaria. No se ha hecho público el alcance exacto del daño, pero el hecho en sí es elocuente: incluso un modelo avanzado, equipado con herramientas para trabajar con datos reales, puede comportarse de forma impredecible ante el entorno vivo y sin estructura del correo corporativo.

Conviene entender la naturaleza técnica del problema. Los sistemas agénticos se distinguen de los modelos de lenguaje habituales en que operan en bucles de retroalimentación: reciben el resultado de sus acciones y siguen trabajando a partir de él. Si en algún paso el modelo interpreta mal el contexto o toma una decisión intermedia errónea, el fallo no solo queda registrado, sino que se amplifica en cada iteración siguiente. Un buzón de correo, sobre todo el de trabajo, es un entorno de alta complejidad: miles de mensajes con temas que se cruzan, hilos anidados, correos con asuntos parecidos. Para un agente sin una jerarquía clara de prioridades ni límites estrictos de permisos, es un campo de minas.

Aquí está la vulnerabilidad sistémica sobre la que los expertos en seguridad advierten desde hace tiempo. El principio de mínimo privilegio, regla fundamental de la seguridad de la información, establece que cualquier sistema debe tener acceso exactamente a lo necesario para una tarea concreta y a nada más; en las implementaciones agénticas rara vez se cumple. Las empresas se apresuran a lanzar el producto, los usuarios conceden con entusiasmo permisos amplios a los agentes y el sistema acaba con acceso a un gran volumen de datos confidenciales, sin mecanismos de reversión ni monitorización en tiempo real.

Las consecuencias de este incidente van más allá de un buzón. Para las empresas, un escenario en que un agente interactúa sin control con la correspondencia corporativa implica posibles filtraciones de datos, interrupciones de procesos de trabajo y riesgos legales. Para los usuarios corrientes, plantea la cuestión de la confianza en herramientas a las que se les pide delegar cada vez más tareas personales. Es llamativo que le ocurriera a una profesional de la seguridad, alguien que por su trabajo debe pensar en estos riesgos. Esto sugiere, de forma indirecta, que las interfaces actuales de los sistemas agénticos no comunican con suficiente claridad a los usuarios la escala real de los permisos que conceden.

La industria tiene por delante una elección difícil. La carrera por la autonomía de los agentes genera productos que se adelantan a la infraestructura de seguridad que los rodea. Protocolos estrictos de monitorización, registros detallados de acciones, la posibilidad de deshacer operaciones de inmediato y una separación clara de derechos de acceso deberían ser condiciones obligatorias, y no funciones opcionales, para llevar los sistemas agénticos al mercado. La historia del buzón de la empleada de Meta no es motivo de pánico, pero sí un argumento de peso para sostener que frenar en favor de la fiabilidad cuesta hoy menos que limpiar las consecuencias mañana.

*Meta está reconocida como organización extremista y prohibida en Rusia.