Hormuz Havoc: El juego satírico que fue hackeado por bots de IA en menos de 24 horas

Imagina que programas un pequeño juego de navegador para pasar el rato con tus amigos. La premisa es sencilla y bastante sarcástica: asumes el rol del presidente de Estados Unidos intentando gestionar una crisis en Medio Oriente. Lo compartes en tu grupo y, en cuestión de horas, la tabla de posiciones está completamente destrozada.

Esto es exactamente lo que le pasó al creador de Hormuz Havoc este fin de semana.

Lo curioso del caso no es el juego en sí, sino lo que sucedió cuando se enfrentó a jugadores con conocimientos de programación. Contra lo que se pensaba inicialmente, Hormuz Havoc no tiene bots de inteligencia artificial integrados para hacerte la vida imposible. Fueron los propios jugadores quienes, en lugar de jugar limpiamente, soltaron un enjambre de agentes externos de IA para descubrir cómo reventar el sistema y conseguir el récord máximo.

Cómo la IA hizo trampa (y obligó a cambiar el código)

Al principio, el desarrollador cometió el clásico error de novato: dejar gran parte de la fórmula de puntuación y los valores de las acciones del lado del cliente (en el código JavaScript). Para un humano, leer ese código no te salva de tener que jugar, probar y equivocarte. Pero el primer bot que entró al juego no "jugó"; simplemente analizó el código fuente y optimizó sus decisiones basándose matemáticamente en la fórmula. En un par de horas, este bot logró una puntuación 2.5 veces mayor que la del mejor jugador humano.

Para frenar esto, el creador movió todo el motor del juego al servidor, convirtiendo el navegador del jugador en una simple pantalla que manda una acción y recibe un resultado. ¿Problema resuelto? Para nada.

El siguiente bot ganador encontró otra vulnerabilidad técnica. Como el juego permitía volver a enviar un estado de sesión firmado, la IA empezó a hacer token replay. Básicamente, el bot jugaba un turno, y si el evento aleatorio que le tocaba era malo, volvía a cargar exactamente el mismo turno una y otra vez hasta que el sistema le arrojaba el mejor resultado posible. Luego, repetía esto a lo largo de los 30 turnos que dura la partida. Una trampa brillante que elevó el récord aún más y obligó al creador a parchear nuevamente el juego.

¿Qué nos deja esta anécdota?

Más allá de las risas y la competencia desleal entre amigos, lo que pasó con Hormuz Havoc expone una realidad brutal para el desarrollo web actual: hoy en día es extremadamente barato y fácil desplegar agentes de IA a gran escala para que interactúen con cualquier producto online.

Si estás desarrollando una aplicación o un videojuego, la regla de oro de la ciberseguridad sigue siendo la misma, pero ahora con muchísima más urgencia: nunca confíes en el cliente. Mueve toda la lógica sensible al servidor y asegúrate de blindar la generación de números aleatorios y los tokens de sesión. Porque si una IA puede romper un juego satírico en menos de un día, imagina el daño que puede hacer en un producto comercial mal asegurado.