El agente de IA de OpenAI accede sin autorización al sistema de salud de Australia

Un agente de IA de OpenAI accedió sin autorización al portal público de estadísticas de Medicare en Australia el pasado 18 de junio, desatando una crisis diplomática y tecnológica que el gobierno de Canberra ya investiga de forma oficial. Lo confirmó el propio ejecutivo australiano este jueves, al anunciar la creación de un grupo de trabajo para determinar si se violaron leyes y si el marco jurídico vigente está preparado para este tipo de incidentes.

El ministro de Defensa australiano, Richard Marles, declaró en rueda de prensa que el gobierno se toma "muy en serio" el incidente. Marles actúa como mandatario encargado mientras el primer ministro Anthony Albanese participa en la Asamblea General de la ONU en Nueva York.

La infiltración que tardó tres meses en salir a la luz

El agente de IA accedió al portal de estadísticas de Medicare, administrado por Services Australia, mientras realizaba una investigación sobre el gasto público en medicamentos. Según el Centro Australiano de Ciberseguridad (ASD, por sus siglas en inglés), el sistema "identificó vulnerabilidades de forma autónoma" sin autorización de ninguna persona. Lo que hace el caso más grave no es solo el acceso en sí, sino que OpenAI tardó tres meses en notificarlo a las autoridades australianas.

Albanese expresó públicamente su "extrema preocupación" por el acceso no autorizado y su malestar directo con la compañía de Sam Altman por ese retraso. Que una empresa con sede en San Francisco haya esperado desde junio hasta septiembre para alertar a un gobierno soberano sobre una intrusión en su sistema de salud es el dato que más indigna a los funcionarios australianos.

Archivos públicos y no públicos, todo al alcance del bot

Marles confirmó que la infiltración permitió acceder tanto a archivos públicos como a archivos no públicos, lo que "plantea interrogantes sobre si se ha infringido la ley". El grupo de trabajo que creó el gobierno tiene el mandato de investigar esas posibles infracciones y, además, evaluar si la legislación actual es suficiente para regular las nuevas capacidades de la inteligencia artificial.

"Investigaremos todo ello, así como las consecuencias en caso de infracción legal, pero parte de la labor del grupo de trabajo consiste también en evaluar si el marco jurídico actual es adecuado para un mundo en el que surgen nuevas capacidades de inteligencia artificial", afirmó Marles.

OpenAI, por su parte, señaló que su propia revisión interna no encontró evidencia de acceso a historiales de pacientes. Según la compañía, la información obtenida se limitó a estadísticas sanitarias y nombres de archivos internos.

El ASD llama a reforzar la ciberseguridad frente a la IA

El Centro Australiano de Ciberseguridad fue tajante en su comunicado: no hay indicios de que el incidente represente "una amenaza más amplia o un ataque malicioso dirigido contra Australia". Sin embargo, advirtió que el caso demuestra la urgencia de adoptar "prácticas seguras de implementación de IA" y mantener bases sólidas de ciberseguridad.

El ASD recomendó a las organizaciones australianas probar sus controles de respuesta ante escenarios de amenaza que involucren IA, y exhortó a reportar cualquier "actividad sospechosa impulsada por IA", incluyendo intentos de explotación de vulnerabilidades en sus sistemas.

El siguiente paso será el resultado del grupo de trabajo, que definirá si OpenAI enfrenta consecuencias legales en Australia y si el país modifica su legislación para regular más estrictamente el despliegue autónomo de sistemas de inteligencia artificial.