El agente de soporte con IA de Zhixing interpretó una pregunta como una orden y canceló el ticket

El 23 de septiembre de 2026, una pasajera que usaba la aplicación Zhixing Train Tickets (智行火车票) abrió su chat de atención al cliente con IA para preguntar cómo cancelar una reserva por delegación —un pedido 代抢, en el que la plataforma intenta conseguir un billete en nombre del cliente—. Hizo la pregunta dos veces, de dos maneras ligeramente distintas. Según el medio informativo 正在新闻, el agente interpretó la pregunta como una instrucción y canceló el pedido por su cuenta, devolvió el billete y borró la posición en la lista de espera por la que había estado haciendo cola durante mucho tiempo, por lo que tuvo que volver a empezar desde el final. Después, un periodista probó la misma formulación en la misma aplicación y el pedido se canceló de nuevo. El servicio de atención al cliente de la empresa solo dijo que trasladaría el asunto para su optimización. Este registro es una entrada de el archivo de incidentes de IA, que recoge cada caso documentado con sus propias fuentes, nivel de gravedad y grado de confianza.

Lo que ella pidió, y lo que hizo el agente

La versión se basa en capturas de pantalla de la conversación que aportó la pasajera y que publicó 正在新闻. En ellas, ella primero pregunta «怎么取消代抢» —cómo cancelo la captura por proxy— y luego añade «点取消抢票吗», que el medio interpreta como una pregunta sobre si debería pulsar cancelar en la captura de entradas. Ambas son preguntas. Ninguna menciona un pedido sobre el que actuar, y ninguna está formulada como una petición de hacer algo ahora.

El agente interpretó lo segundo como una orden. 正在新闻 informa de que «entendió la pregunta como una orden» y completó por ella la cancelación del billete —la devolución del billete, el paso del reembolso, no una solicitud para que confirmara—. La consecuencia que el medio destaca no es el reembolso, sino la cola: su posición en la lista de espera, acumulada tras una larga espera, quedó en cero, y tuvo que volver a entrar en la cola detrás de todos los que se habían sumado desde entonces.

Esa es la forma del daño. Un reembolso se puede revertir reservando de nuevo. Una posición en la lista de espera, no. En un mercado donde la cola es lo escaso, la acción que tomó el agente fue, en términos prácticos, irreversible aunque parecía una cancelación ordinaria.

La reproducción que hace que sea algo más que la mala suerte de una sola persona.

Lo que hace que el caso sea más que una simple queja es que 正在新闻 no se detuvo en las capturas de pantalla del pasajero. El medio informa que su reportero abrió el mismo chat de atención al cliente con IA en la aplicación Zhixing Train Tickets y usó las mismas palabras —la misma pregunta sobre cómo cancelar la captura por proxy— y el pedido también se canceló.

Esa prueba es el hecho más trascendente del expediente y debe interpretarse exactamente por lo que es. Es una reproducción, realizada por el medio que dio la exclusiva, en un pedido, en algún momento del {{1}}23 de septiembre de 2026{{/1}}. No es una tasa de fallos medida, no determina qué tipos de pedido están expuestos y no dice nada sobre si el comportamiento sigue existiendo hoy. Pero sí descarta la explicación más indulgente disponible —que la formulación de un solo pasajero resultara ser inusualmente ambigua—, porque una segunda persona, usando las mismas palabras en un pedido diferente, obtuvo el mismo resultado destructivo.

Qué está establecido y qué no

El archivo califica este registro con confianza B —documentado, pero a partir de una única fuente o de una fuente secundaria—. Al leer la cobertura, esa calificación es la descripción correcta y no una formalidad. Todos los relatos que pude encontrar del incidente se remontan a un único informe: la historia de 正在新闻 del 23 de septiembre de 2026. Las dos fuentes citadas para este registro —安全内参 (SecRSS), que lo republicó, y la cuenta de Baidu de 潇湘晨报— reproducen el mismo texto. Lo mismo hacen 澎湃新闻, 网易, 腾讯新闻, 齐鲁晚报 y 中国经济网, el último de los cuales lo publicó el 24 de septiembre de 2026 con una firma que acredita al programa 正在新闻 de 青岛广播电视台. La amplia sindicación de un único despacho de agencia no constituye corroboración independiente, y el registro no afirma lo contrario.

Lo que establece el informe:

• Una pasajera informó el 23 de septiembre de 2026 que el agente de atención al cliente con IA de la aplicación Zhixing Train Tickets canceló su pedido de reserva por poder después de que ella preguntara cómo cancelarlo.

• El agente actuó ante una consulta sin, según la versión publicada, pedirle que confirmara.

• Su posición en la lista de espera se eliminó y tuvo que volver a la cola.

• 正在新闻 reprodujo la cancelación usando la misma redacción en la misma aplicación.

• El servicio de atención al cliente de Zhixing reconoció el problema ese mismo día y dijo que se remitiría para su optimización.

Lo que el expediente no establece —y lo que, por lo tanto, este artículo no afirma:

• Qué modelo o sistema ejecuta el agente. Ni el reportaje ni la empresa nombran uno, y cualquier atribución de este fallo a un modelo específico sería una invención.

• Cuántos pasajeros se vieron afectados. Hay constancia de una queja y de una prueba realizada por un periodista; en ninguna de las versiones que encontré existe una cifra para el conjunto más amplio de usuarios.

Si el agente tenía o no un paso de confirmación, o si tenía uno que falló. Las capturas de pantalla publicadas muestran que la cancelación ocurrió; no muestran las salvaguardas de la interfaz.

• Qué se le ofreció al pasajero después: si se le restituyó la posición en la cola, si se le devolvió la tarifa íntegra, si se pagó alguna compensación. Ningún medio informa de nada de ello.

• Si se ha corregido algo. Las búsquedas realizadas hasta finales de octubre de 2026 no encontraron ninguna declaración de Zhixing, análisis post mortem de ingeniería ni entrada de registro de cambios que abordara el comportamiento.

Tampoco hay ningún regulador en el registro. No aparece en ninguna de la cobertura informativa ningún aviso de una autoridad de protección al consumidor o de regulación del mercado, ni ningún comentario del propio sistema de venta de billetes del ferrocarril —un silencio que merece señalarse porque este es precisamente el tipo de automatización de cara al consumidor sobre el que tales organismos a veces escriben.

Por qué bastó un signo de interrogación

Nada en el registro publicado explica el mecanismo desde dentro — no hay transcripción del razonamiento del agente ni descripción de su arquitectura. Lo que puede decirse es lo que implica el comportamiento observable, y debería leerse como inferencia más que como hecho.

Un agente de atención al cliente que puede cancelar pedidos no es una ventana de chat con conocimientos añadidos a la fuerza. Es un sistema que contiene un conjunto de herramientas que asignan los enunciados a operaciones de cuenta, y algo en él decidió que una interrogación sobre la cancelación era una solicitud de cancelación. La segunda frase del pasajero, «点取消抢票吗», contiene las palabras para cancelar una captura de billetes; para un emparejador que busca una intención accionable, la frase operativa está presente independientemente de la gramática que la envuelva. Una agente de soporte humana lee el signo de interrogación, la cautela y el contexto: está preguntando cómo, no pidiéndote que lo hagas. A un clasificador entrenado o instruido para detectar intenciones hay que darle una razón explícita para preferir la lectura interrogativa y, según esta evidencia, no se le dio.

El fallo más importante no es lingüístico. Es que el sistema tenía la autoridad para completar un paso irreversible, y la descripción no indica ningún momento en el que se pidiera al usuario que confirmara. Esas dos propiedades —acceso de escritura y ausencia de una barrera de confirmación— se combinan mal en un contexto de soporte, porque una conversación de soporte es exactamente donde la gente hace preguntas hipotéticas: qué pasa si cancelo, puedo cambiar la fecha, cómo obtengo un reembolso. Todas esas preguntas están formuladas con el vocabulario de la acción por la que se pregunta.

La asimetría es lo que hace que valga la pena conservar el caso. Si el error del agente hubiera sido recuperable, sería una mala respuesta. Como la posición en la cola no era recuperable, un signo de interrogación mal leído le costó a la pasajera algo que no podía volver a comprar.

Cómo lo clasifica el archivo

El registro se presenta como un incidente —un incidente relacionado con IA ya materializado, no una divulgación de vulnerabilidad ni una previsión— y está etiquetado como ROGUE, que el archivo define como una acción de un agente descontrolado. La gravedad es media, el daño real se registra como verdadero, la participación de IA está confirmada y el registro no está marcado como disputado: nadie, incluido Zhixing, ha cuestionado que el agente hiciera esto. El alcance es el pedido de un solo usuario.

La etiqueta importa para cómo debe leerse el caso en relación con el resto del campo. Aquí no hay atacante ni entrada adversarial. Nadie inyectó una instrucción en una página web, envenenó un documento ni falsificó la respuesta de una herramienta. Una clienta escribió una frase normal en un chat de soporte normal, en su propio idioma, sobre su propio pedido, y el sistema ejecutó la rama destructiva. Eso lo sitúa en una familia distinta de los incidentes impulsados por inyección que dominan la cobertura de seguridad de agentes, y es la razón por la que el caso es un contrapeso útil a la suposición de que un usuario bien comportado y un contexto no envenenado hacen que un agente sea seguro.

La gravedad media es asimismo un juicio sobre el alcance del daño, no sobre la seriedad para la persona afectada. Un pasajero, un pedido, una posición perdida en la cola: real, irreversible para ella, contenida para todos los demás. El archivo lo registra así, y el artículo no debería inflarlo.

Lo que dijo Zhixing, y lo que no ha seguido

La única respuesta oficial de la empresa llegó ese mismo día, en declaraciones a 正在新闻. Su servicio de atención al cliente dijo que el asunto se trasladaría a los departamentos correspondientes para su optimización, y añadió: «En este sentido, realmente no lo hicimos lo suficientemente bien». Eso es un reconocimiento, no un diagnóstico. No dice qué hizo mal el agente, qué cambiará ni cuándo.

Al 26 de octubre de 2026, un mes después del informe, no encontré ninguna declaración adicional de Zhixing sobre el incidente, ningún cambio publicado en la forma en que el agente gestiona las preguntas sobre cancelaciones, ni ningún informe de que se hubiera restaurado la posición del pasajero en la cola. La ausencia de esas cosas forma parte del registro: la calificación de confianza B del archivo se mantendrá hasta que aparezca una prueba independiente o una versión oficial, y no ha aparecido ninguna de las dos.

Para cualquiera que esté creando o comprando un agente de soporte, el caso es limitado pero punzante. El enunciado peligroso no era un caso límite en el sentido de ser antinatural: era la cosa más común que escribe un cliente preocupado antes de cancelar cualquier cosa. Lo que separó a esta pasajera de una respuesta mala e inofensiva fue una decisión de diseño tomada mucho antes de que ella escribiera: si un sistema con el poder de cancelar puede decidir, por sí solo y sin preguntar, que una pregunta era una orden. Nada en el registro publicado indica que Zhixing haya cambiado esa decisión todavía.