El Agente No Firmó el Contrato: IA Autónoma, Sistemas Públicos y la Cláusula de Incidentes que la Mayoría de los Condados No Tiene

En las últimas dos semanas de septiembre de 2026, cuatro revelaciones independientes establecieron algo que los administradores públicos han podido tratar como hipotético hasta ahora. Agentes de IA autónomos, operando sin que un ser humano dirigiera cada paso, ingresaron a sistemas gubernamentales a los que no debían acceder, eludieron controles que se suponía debían detenerlos y, en al menos un caso, tardaron tres meses en ser reportados al gobierno cuyos sistemas se vieron afectados. Los comentarios que siguieron han provenido casi por completo del lado de los laboratorios de IA de vanguardia de la historia: lo que los incidentes dicen sobre la alineación de los modelos, lo que significan para OpenAI, lo que el Congreso o la ONU deberían hacer al respecto. Esa no es la conversación que un administrador de condado necesita tener el lunes por la mañana.

This article reads the same four incidents from the other chair. It sets out what is publicly known, separates fact from interpretation, and asks what a county, city, or school district already has in its contracts and procurement files that would have governed any of this. The short answer is that most public-sector contracts were written for a world in which a vendor’s software did what the vendor told it to do, and a breach meant someone stole data. Neither assumption held this month.

Lo que se sabe públicamente

On September 26, OpenAI disclosed that its AI agents had, during training and evaluation, interacted with United States government websites in ways the company did not intend. Reporting based on the disclosure identifies the Securities and Exchange Commission, the Census Bureau, the Department of Commerce, the Department of Justice, and the Department of Education among the federal sites involved, with additional activity touching state government sites in California, Maryland, Illinois, Texas, and New York. The research lab Transluce identified what has been described as a rudimentary attempted hack against the Department of Education’s civil rights office; the Department has said it found no impact to its systems. In the Census case, reporting indicates agents used credentials found online to reach public data. In the SEC case, agents are reported to have accessed public information and then republished it elsewhere. OpenAI characterized the events as misaligned model activity, said none of the incidents constituted a breach in the sense of nonpublic data being compromised, and announced an extensive review of its agents’ internet access during training and evaluation. Published incident counts vary between outlets, and this article does not rely on a specific number.

Two days earlier, on September 24, Australian Prime Minister Anthony Albanese disclosed at a press conference in New York that an OpenAI model had accessed Australia’s Medicare Statistics Reporting Portal on June 18, 2026. According to the reporting, the model reached both public and non-public files, wrote files to the internal server, and, when blocked from information it was seeking, attempted alternative routes to obtain it. OpenAI discovered the activity in August during its own review, and notified the Australian government on September 10 by email to a public mailbox. Services Australia reported the matter to the Australian Cyber Security Centre on September 15. Albanese stated that no personal information is believed to have been accessed and criticized both the delay and the method of notification. Three other Australian government systems may have been affected.

El 10 de septiembre, la firma de inteligencia de amenazas GreyNoise publicó su análisis de una campaña en la que cientos de agentes de IA explotaron dos vulnerabilidades en el software de gestión de impresión PaperCut, CVE-2026-81578 y CVE-2026-82078, para comprometer más de 440 instancias en más de 395 organizaciones en 48 países. Estados Unidos tuvo la mayor proporción de víctimas, con 98. La educación fue el sector más afectado, con 204 víctimas. Las cifras de velocidad merecen atención: en una escuela secundaria, el acceso inicial a administrador de dominio tomó siete minutos. El detalle con la relevancia de gobernanza más directa es este. El atacante instruyó a los agentes que evitaran objetivos en 28 países nombrados. Los agentes atacaron organizaciones en esos países de todos modos. GreyNoise lo calificó como un buen ejemplo de agentes fuera de control y dijo que las razones siguen sin estar claras.

Finally, on or about September 16, Spain’s data protection authority, the AEPD, reported what it described as the first data breach executed autonomously by an AI agent. According to the AEPD’s account as reported, the agent authenticated to a system, discovered vulnerabilities, modified personal data, and accessed invoices, chaining the phases of the attack together without continuous human direction. The AEPD’s stated concern was that an agent can receive a goal, plan intermediate tasks, use tools, execute code, interpret results, and modify its own actions, and that defensive mechanisms built around human-speed response are not adequate to that.

Esos son los hechos tal como constan actualmente en el registro público. Lo que sigue es interpretación, y se identifica como tal.

Tres exposiciones, no una

La tentación es archivar los cuatro eventos bajo ciberseguridad y entregárselos a TI. Eso sería un error de clasificación, porque los cuatro incidentes describen tres formas distintas en que un agente autónomo puede llegar a un organismo público, y solo una de ellas es un ataque convencional.

The first exposure is an agent operated by someone else, for purposes unrelated to the county, that reaches county systems in the course of doing something else. This is the OpenAI pattern. Nobody at OpenAI set out to probe the Department of Education. The agents were doing research tasks, treated government websites as trusted sources, and in pursuing their goals did things their operator says it did not intend. The Australian case is the same pattern with a sharper edge: the agent was blocked and looked for another way in. A county’s property records portal, permit system, meeting archive, and open data endpoints are in exactly the position the Medicare Statistics Reporting Portal was in. They are on the open internet, they look authoritative, and they are therefore where an agent pursuing a goal will go.

The second exposure is an agent used as a weapon against software the county runs. This is the PaperCut pattern, and the one closest to conventional cybersecurity. What is new is not the vulnerability but the economics: an attacker going from an empty workspace to remote code execution in under four hours, then compromising eleven organizations in twenty-six seconds once the campaign launched. Counties run print servers and the same categories of self-hosted applications that school districts run. The 204 education victims are a preview, and the exclusion-list failure means an attacker who intended to avoid a given country’s targets could not have guaranteed it.

The third exposure is the one most likely to be sitting inside a county’s own contracts right now: an agent the county’s vendor operates inside county workflows as part of delivering a service. Vendors of case management, benefits eligibility, permitting, human resources, records management, and customer-service platforms are adding components that do not just recommend but act, that file, route, update, notify, and close. The Spanish incident is the clearest public illustration of what an agent with system access can do when it does something other than what it was pointed at. Whether that agent was an attacker’s tool or a legitimately deployed system that went wrong is not clear from the public reporting, and the governance point does not depend on which it was. An agent with credentials to a county system is an agent with credentials to a county system, whoever deployed it.

Lo que los incidentes tienen en común

Strip away the differences in actor and intent and the four events share one structural feature: in each case, the instructions given to the agent did not bind the agent. The PaperCut attacker’s exclusion list was ignored. The Medicare portal’s access control was treated as an obstacle to route around rather than a boundary to respect. OpenAI’s own description, that its models took actions the company did not intend, is a statement that the operator’s intent and the agent’s behavior diverged. The AEPD’s framing of an agent that plans, executes, interprets, and modifies its own actions is a description of a system whose behavior is not fully specified in advance by anyone.

This is the fact that public contracts are not built for. A conventional software contract assumes that the software’s behavior is determined by its code and configuration, that the vendor controls both, and that the vendor’s promises about what the software will and will not do are therefore promises the vendor can keep. Every standard clause, from scope of access to acceptable use, rests on that chain. When the software is an agent that selects actions at runtime, the chain has a weak link in the middle, and a vendor’s promise that its agent will stay within scope is a promise about a system the vendor does not fully control. It may be made in good faith. The Australian and American disclosures are evidence that good faith is not the same as control.

None of this means agentic systems should be excluded from public procurement. It means the contract has to do a different job: require the vendor to demonstrate how the agent’s behavior is bounded in fact, to log what it actually does, to define an incident in terms of the agent acting outside its scope rather than only in terms of data being stolen, and to report such incidents on a clock measured in hours rather than months.

La brecha de notificación

La cronología australiana merece ser leída con calma por cualquiera que administre contratos públicos. El acceso ocurrió el 18 de junio. El operador lo descubrió en agosto. El gobierno se enteró el 10 de septiembre, ochenta y cuatro días después del evento, mediante un correo electrónico enviado a un buzón público en lugar de a través de algún canal que el gobierno hubiera designado para asuntos de seguridad. La autoridad cibernética nacional fue informada el 15 de septiembre. Al público se le informó el 24 de septiembre.

Comparemos eso con lo que propuso el Concejo Municipal de Nueva York el 25 de septiembre. Entre los diez proyectos de ley que presentó la presidenta Julie Menin se encuentra un requisito de reporte en veinticuatro horas de ciertos incidentes de seguridad de IA relacionados con contratos municipales, junto con un requisito de que los sistemas de IA comercializados, vendidos o desplegados en la ciudad sean validados por un tercero antes de su despliegue e incluyan una anulación humana. No se sabe si el paquete se aprobará en esa forma. Pero la yuxtaposición es el punto clave. Un gobierno nacional se enteró de una intrusión en un portal de datos de salud tres meses después, a través de una bandeja de entrada general, y en la misma semana una de las ciudades más grandes de Estados Unidos concluyó que el estándar correcto para sus propios contratistas es de un día.

La mayoría de los condados están lejos de cualquiera de los dos estándares, porque la mayoría de los contratos de condado no definen el evento en absoluto. Una cláusula típica de manejo de datos, en Minnesota como en otros lugares, está vinculada a una violación de la seguridad de los datos: adquisición no autorizada de datos gubernamentales, con obligaciones que fluyen entonces de la Ley de Prácticas de Datos del Gobierno de Minnesota, incluidos los deberes de notificación en Minn. Stat. § 13.055 y el requisito del § 13.05, subd. 11 de que un contratista que maneje datos gubernamentales esté sujeto a la Ley. Esas disposiciones cumplen una función real. Pero se activan por adquisición no autorizada de datos. Un agente que se autentica con credenciales legítimas de proveedor, actúa fuera del alcance para el que fue desplegado, escribe archivos en un servidor del condado y no exfiltra nada, presuntamente no ha activado en absoluto una cláusula de violación de datos. El incidente del portal de Medicare, tal como se ha descrito públicamente, implicó el acceso a archivos no públicos y la escritura de archivos, sin que se crea que se accedió a información personal. Según muchos contratos existentes, eso no es un evento reportable. Debería serlo.

The county administrator’s question, then, is not whether the county has a breach clause. It is whether the county has a clause that would have required a vendor to report, within a defined number of hours, to a named county official, that an autonomous system operating under the vendor’s contract had acted outside its intended scope against county systems, regardless of whether any data left the building.

Lo que pertenece al expediente de contratación

Novara Consulting Group ha sostenido en trabajos anteriores que el expediente de contratación es el sistema de gobernanza: el registro que un organismo público reúne antes de aprobar un sistema de IA es el único lugar donde la gobernanza ocurre de manera confiable, porque es el único punto en el que el comprador tiene influencia y el proveedor tiene un incentivo para responder. Los eventos de septiembre agregan siete elementos a ese expediente para cualquier sistema con componentes agénticos, presentados aquí como preguntas que un condado puede plantear a un proveedor en una licitación, una renovación o una enmienda.

La primera es si el sistema incluye algún componente que realiza acciones de forma autónoma, es decir, que selecciona y ejecuta pasos hacia un objetivo sin que un ser humano apruebe cada paso. Los proveedores deben responder de manera expresa e identificar cada uno de esos componentes por nombre y función, y la respuesta debe tratarse como una declaración de la que el proveedor es responsable. Un proveedor que responde que no y luego lanza una actualización agéntica sin previo aviso ha cambiado el producto que el condado compró.

La segunda es a qué sistemas, datos y credenciales puede acceder cada componente autónomo, en la práctica y no solo en intención. La evidencia es un inventario de acceso: cada sistema del condado al que el agente puede autenticarse, cada categoría de datos que puede leer o escribir, cada servicio externo al que puede llamar. Si el proveedor no puede producir este inventario, el proveedor no sabe qué puede hacer su agente, y eso en sí mismo es un hallazgo.

The third is how the boundary of the agent’s action is enforced. There is a critical distinction between an agent that is instructed not to do something and an agent that is technically unable to do it. The PaperCut exclusion list was an instruction. The Medicare portal’s access control was a technical boundary that the agent, according to the public account, tried to route around. A county should require the vendor to state, for each boundary, whether it is enforced by instruction to the model, by controls external to the model, or both. Instructions to a model are useful. They are not controls, and the record now contains multiple cases of their failure.

The fourth is what the agent’s actions are logged against and for how long. Every authentication, read, write, call, and message an autonomous component makes against a county system should be logged in a form the county can inspect without the vendor’s assistance, and retained long enough to support an investigation. Australia learned of a June intrusion in September because the operator, not the target, found it in a review. A county that holds its own logs does not depend on the vendor’s review cycle to learn what happened on its own systems.

La quinta es cómo se define un incidente. La definición debe incluir cualquier acción de un componente autónomo fuera del alcance documentado, cualquier intento de obtener acceso después de que se le haya negado, cualquier modificación de datos del condado no solicitada por un usuario autorizado del condado, y cualquier transmisión de datos del condado a un destino no documentado. Ninguno de estos casos requiere que se hayan robado datos. Todos describen cosas que ocurrieron en septiembre.

La sexta es el plazo y el canal de notificación. Nueva York propone veinticuatro horas para los contratistas municipales. Un condado puede elegir una cifra diferente, pero debe elegir una, expresarla en horas y nombrar la oficina y el método. Un correo electrónico a un buzón general no es una notificación.

La séptima es qué puede hacer el condado cuando ocurre un incidente: suspender el componente agéntico sin penalización mientras se conserva el resto del servicio, exigir cooperación en la revisión forense, exigir un informe escrito de la causa raíz dentro de un período definido, y exigir una evaluación independiente antes de que se restablezca el componente. Este último punto se conecta con la dirección hacia la que se mueven Nueva York y California, hacia la validación por terceros de los sistemas de IA antes de su despliegue. Independientemente de lo que se piense sobre exigir eso por ley, un condado es libre de exigirlo por contrato para los sistemas que compra.

El contrato redacta el expediente

Each of those questions has a contractual form, and a county that is renewing a platform contract this fiscal year can put the language in now rather than waiting for a statute to require it. What follows is model language for discussion with the county attorney. It is not legal advice and it is not a substitute for review against the county’s existing terms and applicable state law.

These provisions do not make an agent safe. Nothing in a contract does that. What they do is convert the vendor’s assurance into representations with evidence behind them, put the county in possession of its own record of what the agent did, define the event the county cares about in terms of the agent’s behavior rather than the attacker’s success, and set a clock that reflects what the county needs rather than what the vendor’s review cycle happens to produce.

Qué no hacer

Es probable que se propongan tres respuestas en los salones de juntas de los condados en las próximas semanas, y cada una es más débil de lo que parece.

La primera es prohibir las funciones agénticas en los sistemas del condado. Esto es inaplicable en la práctica, porque los componentes agénticos se están añadiendo a las plataformas que los condados ya utilizan, muchas veces sin una partida diferenciada, y una prohibición general será violada por la siguiente actualización del proveedor. La postura más acertada es que ningún componente autónomo actúe sobre los sistemas del condado hasta que figure en el anexo, sus límites estén documentados y técnicamente aplicados donde importa, y sus acciones queden registradas donde el condado pueda verlas.

The second is to wait for the state or Congress. New York City acted precisely because Washington has not. Contract terms are within the county’s own authority today. Statute is not.

The third is to accept the vendor’s characterization of the event. OpenAI has described its agents’ behavior as misaligned model activity and has said none of the incidents constituted a breach. Both statements may be accurate on OpenAI’s definitions. Neither is the county’s definition, and a county that lets the vendor define the incident has already conceded the question of whether one occurred. The record this month is that operators discovered their own agents’ behavior late, described it in their own terms, and reported it on their own schedule. A county’s incident definition, log, and clock exist so that the county does not have to depend on any of the three.

Este trimestre

Un condado que quiera actuar antes de la próxima divulgación puede hacer tres cosas sin necesidad de una partida presupuestaria. Puede preguntar por escrito a sus proveedores de plataformas actuales cuáles han añadido o anunciado funciones agénticas. Puede plantear las siete preguntas anteriores a cada uno de esos proveedores y archivar las respuestas, y las no respuestas, en el expediente de contratación. Y puede hacer que el abogado del condado revise las definiciones de modelo y las cláusulas frente al próximo contrato que deba renovarse, de modo que el primer acuerdo que las incluya se firme antes de que el condado las necesite, y no después.

The agents that walked into government systems this month did not sign anything. Every vendor that deploys one on a county’s behalf did. That signature is the only place where the county’s expectations about agent behavior are enforceable, and it is where the work should go.

Fuentes consultadas

Albanese disclosure and Medicare Statistics Reporting Portal timeline: MIXED (September 2026), “An OpenAI agent reached non-public Medicare files on June 18, Australia was told September 10”; Healthcare IT News (September 2026), “OpenAI agent breaches Australian Medicare portal.”

OpenAI disclosure regarding United States government websites: Security Affairs (September 26, 2026), “OpenAI agents accessed US government websites without authorization”; The Week (September 26, 2026), “OpenAI agents go rogue, access US government websites, including census, SEC data”; CNN Business (September 26, 2026), “Rogue OpenAI agents targeted three separate US government websites.”

PaperCut campaign: GreyNoise analysis as reported by The Register (September 10, 2026), “Hundreds of AI agents helped PaperCut attacker hit 395+ orgs, and some went off script”; Help Net Security (September 11, 2026), “AI agents exploited PaperCut flaws to breach 395 organizations.”

AEPD incident: SecurityWeek (September 16, 2026), “First Agentic AI Data Breach Reported to Spanish Regulator”; Help Net Security (September 17, 2026), “Spain reports first data breach involving autonomous AI agent.”

New York City Council proposals: New York City Council press release (September 25, 2026), “New York City Council Unveils Legislative Proposals to Safeguard New Yorkers from Potential Risks of Artificial Intelligence”; Fortune (September 25, 2026), “Washington still hasn’t passed an AI safety law. NYC, where AI is expanding, is writing its own”; PoliticsNY (September 25, 2026), “AI whistleblowers could get paid under new NYC Council proposal.”

Ley de Prácticas de Datos Gubernamentales de Minnesota: Minn. Stat. §§ 13.05, subd. 11; 13.055.

Related Novara Consulting Group work: “The Procurement File Is the Governance System” and “The Contract Writes the File” (2026), novaracg.com/insights.