Hace unos días detecté un WordPress hackeado en un cliente. Un análisis rápido y un par de pruebas bastaron para ver que la infección era seria. Así que hice algo que podría hacer temblar a algunos: le di acceso SSH al servidor como root a Claude y le dije que lo arreglara.

Algunos pensarán que estoy loco, porque dar acceso root en producción a una IA es una irresponsabildiad y bla bla bla… Tranquilidad, por favor.

No digo que sea lo que hay que hacer siempre, pero cada situación es un mundo. En este caso, por el cliente que era y el estado de la web, merecía la pena intentarlo.

Y vaya si compensó.

Claude detectó el malware, comparó el core contra una copia oficial de WordPress para cazar archivos modificados o de más, rotó todas las credenciales expuestas (base de datos, FTP, usuarios administradores…), revisó permisos de carpetas y archivos, y de paso encontró un par de agujeros del hosting que había que cerrar.

El percal que había montado, por si tenéis curiosidad:

- Un plugin falso disfrazado de herramienta de optimización que se escondía y no aparecía en el panel.
- Un usuario administrador fantasma se regeneraba cada vez que lo eliminabas.
- Una tarea programada revisando cada minuto que todo el hackeo siguiera intacto, reponiendo cualquier pieza que consiguieras quitar. Por eso todo volvía a los pocos minutos.
- Puertas traseras camufladas y repartidas por varios sitios de la web.
- Una página que le enseñaba a Google una web de apuestas mientras a los visitantes normales les mostraba otra cosa completamente distinta, para no levantar sospechas.

Un trabajo que me habría llevado varias horas lo resolví en 30 minutos míos (detectarlo, primeras comprobaciones, prompt a Claude y reporte final al cliente) más 20 minutos de la IA, que no cuentan porque yo estaba haciendo otra cosa mientras tanto.

Esto, por cierto, enlaza con lo que reflexioné en una newsletter anterior, lo de que facturar por horas cada vez tiene menos sentido con la IA de por medio. No quiero repetirme aquí, pero si no la leíste, échale un ojo, este caso del WordPress es el ejemplo perfecto de por qué lo digo.

No es un caso aislado. Últimamente no empiezo nada sin plantearme antes qué parte puede hacer la IA por mí.

Con los clientes de SEO, por ejemplo, más de lo mismo. Hace un par de meses cogí dos clientes nuevos con el objetivo de aumentar facturación sin que me supusiera ni una hora más de trabajo, apostando a que el asistente que me estoy montando para estas tareas de consultoría absorbería buena parte del curro actual.

Y funciona. O está en proceso de hacerlo, mejor dicho, porque llevo meses trabajando en esto y de momento las horas que me tiene que ahorrar el asistente se van en construir el propio asistente.

Porque esto no es soltarle tres prompts a Claude para que haga tu trabajo a partir de ahora. Detrás hay mucho curro en identificar qué procesos concretos se pueden convertir en skills o automatizaciones, construirlas, probarlas, irlas ajustando… Y en eso estoy, intentando apalancarme en la IA para “facturar más (pudiendo atender a más clientes) pero trabajando lo mismo (o menos, ya que estamos)”.

Dos casos muy distintos. Uno resuelto casi al 99% en media hora. El otro, un trabajo de fondo que llevo meses construyendo y sigo puliendo cada semana.
Pero los dos parten del mismo cambio de chip que me lleva siempre a hacerme la misma pregunta ante cualquier trabajo: ¿esto lo tengo que hacer yo, o puede hacerlo la IA?

Gracias por leer.
Sergi Ruiz, desde la cueva.

PD: He sacado un vídeo con otro experimento, esta vez dejando a la IA construir una app entera de iOS sin ser yo el cuello de botella.

Pásaselo a quien le pueda interesar.

La pregunta que ya me hago con todo