Un empleado de Meta conectó su cuenta de Gmail con Hatch,el agente personal de inteligencia artificial que Meta prepara para ejecutar tareas por cuenta del usuario y que todavía no lanzó al público. Después de esa prueba, descubrió que la contraseña de una cuenta vinculada al seguimiento de la salud había cambiado, aunque nadie había solicitado esa modificación.

El episodio formó parte de una serie de pruebas internas con las que Meta buscó medir hasta qué punto Hatch podía ejecutar tareas de manera autónoma y, al mismo tiempo, respetar las instrucciones del usuario. Los resultados revelaron varios problemas.

En una de las pruebas, el agente envió un correo electrónico por su cuenta, sin que esa acción formara parte de la tarea indicada. En otra, recibió la orden de completar una reserva de viaje, pero tomó una decisión distinta: transfirió puntos de Chase Travel a una cuenta de un programa de fidelidad hotelero en lugar de concretar la reserva.

Los ensayos también detectaron fallas más sensibles. Hatch dirigió a uno de los participantes hacia una compra en un sitio web fraudulento y, en otro caso, reveló una contraseña que estaba almacenada en una cuenta de Gmail creada especialmente para comprobar si el sistema protegía correctamente información privada.

The Information reveló estos incidentes a partir de datos surgidos del propio programa de pruebas de Meta. Tras detectar esos comportamientos, la empresa dedicó varios meses a reforzar los mecanismos de seguridad antes del lanzamiento de Hatch, previsto para las próximas semanas.

La compañía también estudió cómo cobrar por el nuevo servicio. Meta evaluó un plan premium de hasta US$ 199,99 por mes, una tarifa que convertiría a Hatch en su primer producto pago de inteligencia artificial dirigido a consumidores.

Buena parte del trabajo previo al estreno se concentró en los controles de seguridad y en limitar las acciones que el agente podía ejecutar sin una autorización clara. El problema central no estaba necesariamente en la capacidad del modelo para interpretar una tarea, sino en cómo actuaba cuando tenía acceso a correos electrónicos, cuentas, contraseñas o servicios externos.

Hatch es la respuesta de Meta a OpenClaw, un agente personal de código abierto que funciona directamente en la computadora del usuario. La herramienta puede administrar correos electrónicos, calendarios y compras a partir de instrucciones escritas en un chat, con acceso a distintas cuentas y servicios del usuario.

El creador de OpenClaw, Peter Steinberger, rechazó una propuesta de Meta y se incorporó a OpenAI en febrero. El proyecto, sin embargo, continuó como una iniciativa de código abierto bajo una fundación, con el respaldo de la compañía de Sam Altman.

Ese mismo mes, la responsable de seguridad y alineación del laboratorio de superinteligencia de Meta sufrió en primera persona uno de los riesgos de este tipo de agentes. Su instalación de OpenClaw eliminó todos los correos electrónicos de la bandeja de entrada mientras ella intentó frenarlo con un mensaje directo: "DETENETE, OPENCLAW".

El episodio reforzó una idea dentro de Meta: la compañía consideró que los agentes capaces de ejecutar tareas por cuenta del usuario tenían potencial, pero que OpenClaw resultaba demasiado técnico para llegar a un público masivo. Su funcionamiento exige, en muchos casos, interactuar mediante una línea de comandos, una interfaz de texto desde la cual el usuario controla la computadora a través de instrucciones escritas.

A partir de esa evaluación, Meta desarrolló su propia alternativa, pensada para personas sin conocimientos técnicos y con una experiencia mucho más sencilla.

El resultado fue Hatch, un agente que opera dentro de un espacio de trabajo virtual y puede continuar activo incluso después de que el usuario cierre la app. El sistema puede conectarse con servicios como el correo electrónico, Instagram y OpenTable, y recibió entrenamiento para interactuar con plataformas como DoorDash, Etsy, Reddit, Yelp y Outlook.

El ensayo que Mark Zuckerberg publicó el 10 de agosto definió el esquema comercial: versiones gratuitas para miles de millones de usuarios y la opción de comprar mayor capacidad de cómputo mediante una subasta dinámica, un mecanismo en el que el precio cambia según la demanda. El plan de US$ 199,99, que The Next Web estimó en 25 veces el valor de la suscripción actual al chatbot de Meta, ofrecería entre cinco y diez veces más capacidad diaria que la versión gratuita. Además, la compañía prepara para octubre un modelo propio bajo el nombre en código "Watermelon".

Las correcciones son el producto

Las medidas de seguridad que Meta incorporó a Hatch recuerdan más a las protecciones clásicas de un software tradicional que a una función propia de la inteligencia artificial. Un bloqueo de seguridad impide que el agente ejecute operaciones sensibles hasta que el usuario las autorice de manera explícita. Una bóveda de credenciales, es decir, un sistema seguro que guarda contraseñas, códigos de autenticación y enlaces para recuperar cuentas sin dejarlos al alcance directo del modelo, protege esa información sensible.

La compañía también agregó controles antes de que Hatch actúe en sitios web. El sistema consulta bases de datos de fraude para comprobar que una página sea segura antes de permitir una operación. A eso se sumaron empresas externas de ciberseguridad, contratadas por Meta para someter la plataforma a pruebas de resistencia y buscar posibles vulnerabilidades.

Ninguna de estas medidas resulta especialmente novedosa por separado: pedir una confirmación antes de una acción sensible, proteger contraseñas, bloquear sitios riesgosos o realizar pruebas de penetración son prácticas habituales en seguridad informática. Tampoco hicieron que Hatch fuera más inteligente. Lo que hicieron, en conjunto, fue poner límites a lo que el agente podía hacer por su cuenta y reducir el riesgo de que un error terminara en una acción real sobre las cuentas del usuario.

Un agente de inteligencia artificial como asistente personal depende, ante todo, de un sistema que define a qué información puede acceder y qué acciones tiene permitido ejecutar. El modelo es una parte de esa estructura, pero en el caso de Hatch fueron esos controles de acceso los que exigieron meses de trabajo.

Esa diferencia resulta clave para entender dónde está el verdadero desafío de este tipo de productos. En cada incidente que Meta detectó durante sus pruebas, el agente contaba con acceso autorizado a una cuenta o servicio, pero utilizó ese permiso para hacer algo distinto de lo que el usuario había solicitado.

El problema, por lo tanto, no consistió en detectar una intrusión externa ni en bloquear a un atacante. Hatch ya tenía permiso para entrar. La dificultad apareció cuando, con ese acceso legítimo, decidió ejecutar otra acción por su cuenta, como restablecer una contraseña vinculada a una cuenta de Gmail sin que el usuario se lo hubiera pedido.

La solución pertenece al campo del control de acceso, una rama de la ciberseguridad que establece qué puede hacer cada persona o sistema, sobre qué información y bajo qué condiciones. Es un área con reglas, herramientas y proveedores especializados que existían mucho antes del auge de los agentes de inteligencia artificial.

La misma falla, ahora con una dirección particular

Las últimas dos semanas expusieron una serie de episodios con un patrón similar. Agentes de OpenAI detectaron un canal compartido dentro de una caché interna de paquetes —un repositorio temporal que guarda componentes de software— y lo utilizaron para dirigir un ataque contra Hugging Face.

En otro caso, un grupo recurrió a una wiki alemana sobre programación para intercambiar técnicas orientadas a vulnerar entornos aislados de seguridad, conocidos como sandboxes. Meta, por su parte, informó en agosto que uno de sus modelos aprovechó una falla en un servicio de terceros después de que una empresa externa le habilitó por error el acceso a internet durante una evaluación de ciberseguridad.

Hasta ese momento, los incidentes se habían concentrado en infraestructura tecnológica dentro de laboratorios. El caso de Hatch marcó una diferencia: por primera vez, el acceso utilizado de forma indebida correspondió a servicios personales de un consumidor, entre ellos una cuenta de Gmail, un saldo de puntos de viaje y una cuenta vinculada a información de salud.

La falla pertenece a la misma categoría de problemas que los principales laboratorios documentaron durante el verano estadounidense. La diferencia es que esta vez dejó de limitarse a sistemas de prueba y alcanzó directamente las cuentas personales de un usuario.

Por qué Meta cobra ese precio

Meta registró ingresos por US$ 60.800 millones durante el segundo trimestre, de los cuales US$ 59.400 millones provienen de publicidad. La previsión de gastos de capital para el año subió a un rango entre US$ 130.000 millones y US$ 145.000 millones, mientras que el flujo de caja libre cayó a US$ 784 millones. Meta todavía obtiene de los anuncios prácticamente cada dólar que ingresa, mientras que el gasto en inteligencia artificial consume buena parte de lo que queda.

Hatch es el primer producto creado para generar ingresos directamente a partir de esos centros de datos, en lugar de hacerlo mediante publicidad. Tanto en el ensayo de Zuckerberg como en la estructura de los distintos planes, el precio se presenta como una cuestión de capacidad de cómputo. Cuanto más pagás, más tiempo de procesamiento obtenés.

Lo que un usuario recibe en realidad por US$ 199,99 es ese tiempo de procesamiento más la barrera de confirmación, la bóveda de credenciales y la lista de bloqueo de sitios considerados riesgosos. Esa es la parte del producto que Meta no podía licenciar de un laboratorio rival ni extraer de los parámetros de sus propios modelos.

Además, sus propias pruebas demostraron que precisamente esa capa era la que faltaba. Las empresas que venden sistemas de identidad y control de acceso a grandes compañías trabajaron durante dos décadas en este mismo problema y hoy representan la referencia más cercana para entender cómo debería funcionar, a gran escala, la capa de seguridad de un agente para consumidores. Meta decidió desarrollarla internamente, una apuesta que parte de la idea de que el sistema de permisos debe formar parte del propio producto y no quedar en manos de un proveedor externo.

El lanzamiento pondrá a prueba una cuestión antes que cualquier otra. Que una persona esté dispuesta a pagar doscientos dólares al mes por un asistente dependerá menos de todo lo que pueda hacer que de la confianza que genere al pedir permiso antes de actuar. La prueba del restablecimiento de contraseña ya le dio una respuesta a Meta una vez, puertas adentro. La próxima versión de esa prueba tendrá al público como protagonista.

*Esta nota fue publicada originalmente en Forbes.com.