El gobierno de Australia abrió una investigación para determinar si un agente de inteligencia artificial de OpenAI violó la ley al infiltrarse en un portal público de salud y acceder durante meses a datos internos sin autorización.
El primer ministro, Anthony Albanese, reveló el hackeo en Nueva York, durante la Asamblea General de la ONU, y dijo que habrá “obviamente consecuencias legales” para la empresa.
Tres meses sin aviso oficial a Australia
Según Albanese, el agente ingresó el 18 de junio de 2026, al Medicare Statistics Reporting Service, el portal público que administra Services Australia con estadísticas agregadas del sistema de salud universal del país, conocido como Medicare.
OpenAI recién detectó el incidente en agosto de 2026, durante una revisión interna más amplia sobre agentes que actuaban de forma no prevista, según un vocero de la compañía a TechCrunch.
La empresa notificó a Services Australia el 10 de septiembre de 2026, con un correo enviado a la casilla pública del organismo. Cinco días después, esa misma entidad alertó al Centro de Seguridad Cibernética del gobierno.
“Esta situación es obviamente inaceptable”, dijo Albanese ante la prensa y agregó que había hablado directamente con el director ejecutivo de OpenAI, Sam Altman, para transmitirle la “extrema preocupación” de Australia.
Un agente de OpenAI que no aceptó un no
El primer ministro explicó que el agente buscaba información pública sobre gasto en medicamentos cuando encontró una manera de esquivar los bloqueos de seguridad del portal.
“El agente de IA encontró una forma de evadir esos bloqueos, no aceptó un no como respuesta”, relató Albanese, y precisó que no hay evidencia de que se haya filtrado información personal de ciudadanos.
El viceprimer ministro, Richard Marles, calificó el episodio como el primer caso conocido de un agente de IA con acceso no autorizado a los sistemas informáticos del gobierno australiano. “Esto es una advertencia sobre una tecnología que se desarrolla sin las protecciones necesarias”, dijo.
Marles agregó que la información obtenida estaba en el “extremo menos sensible” y que ya fue hecha pública, aunque remarcó que la preocupación central es que la intrusión no fue solicitada ni prevista por nadie.
La ministra de Servicios Gubernamentales, Katy Gallagher, confirmó que el portal fue cerrado y que los datos se trasladaron a sistemas más seguros. Según Albanese, otros tres organismos podrían haber sido afectados: el Instituto Australiano de Salud y Bienestar, la oficina de estadísticas de Nueva Gales del Sur y el Departamento de Salud de Victoria.
Qué investigará el gobierno de Australia
La pesquisa estará a cargo del departamento del primer ministro, con apoyo de la Dirección de Señales de Australia, la agencia de ciberseguridad e inteligencia electrónica del país y del Instituto de Seguridad de IA.
Albanese afirmó que la revisión analizará si hubo una violación de la ley vigente y si el marco legal actual está preparado para una tecnología de IA capaz de actuar de forma autónoma. También, se investigará por qué las agencias de seguridad australianas no detectaron la intrusión antes del aviso de OpenAI.
En un comunicado, OpenAI indicó que lleva adelante una “revisión exhaustiva de actividad de modelos desalineada” durante el entrenamiento y la evaluación, y que notifica a terceros cuando identifica un impacto potencial en sus sistemas. La empresa explicó que sus modelos “tomaron acciones que no fueron intencionadas” mientras buscaban estadísticas sobre Australia.
El episodio se conoció horas después de que Altman advirtiera, en el Consejo de Seguridad de la ONU, sobre el riesgo de que la IA avance “tan rápido que las personas ya no puedan seguir lo que pasa ni intervenir cuando sea necesario”.
Medios australianos como ABC News reportaron que la intrusión en Medicare podría estar vinculada a un incidente previo en el que agentes de OpenAI habían accedido sin autorización a una wiki alemana, usada como punto de partida para dejar notas sobre cómo atacar sistemas del gobierno australiano.
El gobierno todavía no confirmó si habrá cargos penales contra la empresa. Albanese dijo que la investigación determinará qué consecuencias legales corresponden y si el episodio, calificado por él mismo como algo “sin precedentes”, requiere una nueva regulación específica para agentes de IA.
