Eso tiene nombre propio y es el título de este artículo: estar out of bounds, fuera de los límites. Lo que se ve desde ahí no se olvida: el piso transparente porque nadie le puso textura por debajo, los edificios flotando huecos, los enemigos quietos sin enterarse de que ya no estás. A veces uno simplemente cae, y cae, en un vacío gris sin fondo.

Hay comunidades enteras dedicadas a llegar ahí. Gente que lleva veinte años empujando esquinas, buscando el error que dura un solo cuadro. No les pagan, lo hacen porque saber que existe un afuera y no ir a verlo es insoportable.

Yo llevo años viendo esos videos en vez de dormir.

 

Y no creo que sea casualidad que haya terminado trabajando en esto. Buscarle la grieta a un sistema que construyó otra persona es la misma operación mental, solo que con papeleo de por medio.

Pero nada de esto empieza en una empresa de seguridad. Empieza en 1985, con un niño y una tubería.

El truco corrió por los patios de los colegios como una leyenda, y era demasiado específico para ser un rumor cualquiera. Al final de la parte subterránea del primer nivel de Super Mario Bros hay una tubería. Te subes encima, rompes los ladrillos del techo pero dejas uno, te agachas contra el borde y saltas hacia atrás. Si lo haces bien, atraviesas la pared. Si lo haces mal, te quedas incrustado en el bloque, esperando a que se acabe el tiempo para morirte.

Los que lo lograban aparecían en un mundo que no existe.

Terminó llamándose «Mundo -1»: un nivel bajo el agua del que no se puede salir, porque la tubería del final te devuelve al principio una y otra vez. Ni siquiera se llama así en realidad. El juego te está mandando al mundo número 36, un número tan fuera de rango que no tiene dibujo asignado, y por eso el marcador aparece en blanco. Nadie en Nintendo diseñó ese lugar: simplemente estaba ahí, esperando a que alguien se saliera del camino.

Ese niño acaba de hacer algo que tiene nombre técnico. Le faltan quince años para enterarse de cuál. Pero ya aprendió lo único que de verdad importa en este oficio: las reglas que te enseñan no son las reglas que existen.

Porque no fue un caso aislado. Diez años después, media generación descubrió lo mismo en Pokémon: hablabas con un viejo, volabas a una isla, nadabas pegado a la orilla, y te salía un monstruo hecho de imagen sin sentido. Se llamaba MissingNo, y al encontrarlo el sexto objeto de tu mochila se multiplicaba por ciento veintiocho.

Nadie entendía por qué. Solo sabían que habían encontrado algo que el juego no quería enseñarles, y que servía para tener noventa y nueve caramelos raros.

La razón es pura contabilidad: el dato que dice «ya viste este Pokémon» quedó guardado en el mismo lugar de la memoria que el dato de cuántas cosas hay en la casilla seis de la mochila, así que escribir uno era escribir el otro. Y el monstruo que te salía dependía de las letras de tu propio nombre, porque el juego estaba leyendo el nombre que tú escribiste y tratándolo como si fuera la lista de enemigos de la zona.

Un cartucho de Game Boy de 1996, y ahí adentro ya estaban dos de las formas más caras de romper un sistema.

Nada de eso circulaba por internet, porque no había: viajaba de boca en boca en la fila de la cafetería, y siempre había alguien cuyo primo trabajaba en Nintendo. La mitad de esos rumores eran mentira. La otra mitad no, y esa es más o menos la proporción con la que uno trabaja cuando busca fallas de verdad.

Uno podría pensar que toda esta conexión entre jugar y hackear es una casualidad simpática. No lo es. Es el origen literal de la palabra.

A finales de los cincuenta, en el MIT, había un club de aficionados a los trenes a escala, y debajo de la maqueta tenían un enredo de cables y relés viejos de teléfono. Cuando alguno resolvía un problema de forma ingeniosa, los demás decían que había hecho un buen «hack». Ahí nació el término: no en un sótano oscuro, sino en un club de juguetes. Y cuando esos mismos muchachos vieron llegar una computadora nueva, enorme y carísima, destinada a cálculos serios, hicieron lo que uno esperaría de gente así.

Le programaron un videojuego.

Se llamó Spacewar!, salió en 1962, y de paso inventaron varias técnicas de programación que después se usaron en cosas muy serias. La primera generación de hackers de la historia agarró la máquina más cara del edificio para jugar.

Desde entonces la cosa nunca se separó, y no es raro: en el fondo un videojuego es un sistema con reglas y un objetivo, igual que una red corporativa, solo cambia el marcador. Un juego te enseña durante años, sin decírtelo nunca de frente, que si algo se comporta raro ahí hay información, que morir doscientas veces contra el mismo jefe no es fracasar sino ir probando, y algo más que es lo que sale más caro: que a veces el que construyó la puerta dejó la llave puesta.

Arriba, arriba, abajo, abajo, izquierda, derecha, izquierda, derecha, B, A. El código Konami. Lo escribió Kazuhisa Hashimoto adaptando un juego de naves a la consola de Nintendo: era durísimo, no era capaz de terminarlo para probarlo, y se programó un atajo que le daba todas las armas de una vez. Pensaba borrarlo antes del lanzamiento.

Se le olvidó.

Millones de niños aprendimos así, a los ocho años, algo que hoy le cuesta auditorías enteras a las empresas: el que construyó el sistema dejó una puerta abierta para trabajar cómodo, y después no la cerró. Cuentas de prueba que nadie borró, accesos de mantenimiento que quedaron encendidos. En 2026 seguimos encontrando exactamente eso, todas las semanas, en diferentes compañías.

Hasta aquí parece que solo estamos hablando de juegos viejos. Pero esa forma de pensar no se quedó en los ochenta, y aparece casi intacta en el robo más famoso de la historia de los videojuegos.

El 18 de abril de 2005, a las cinco de la mañana, ese mismo hombre la convenció de salir a volar con él. Los dos en sus naves más valiosas, para lucirse, para mostrar el poder de la corporación. La llevó a un sector vacío. Y en ese instante una sola palabra viajó por todos los canales privados del Guiding Hand: «Nicole».

En una hora había terminado todo. Destruyeron su nave, destruyeron su cápsula de escape, se llevaron su cuerpo congelado para entregárselo al cliente, que era exactamente lo que había pedido. Y mientras tanto, en cada oficina de la corporación repartida por la galaxia, los infiltrados vaciaron las bodegas al mismo tiempo. Unos dieciséis mil dólares reales en daños: el robo virtual más grande que se había visto.

La primera vez que leí esto pensé que estaba exagerado, que era una de esas leyendas de internet que crecen con cada recuento. No lo está: hay entrevistas con el hombre que lo planeó, y habla de su trabajo exactamente como hablaríamos nosotros en una reunión de arranque.

Fíjate en cómo está armada la operación. Un cliente define un objetivo, el equipo estudia a la víctima con paciencia y entra por el lado humano, se mueve hacia adentro ganando permisos, se queda quieto meses sin llamar la atención, y cuando ataca lo hace en todos los puntos a la vez para que nadie alcance a avisarle a nadie.

Eso es, palabra por palabra, un ejercicio de red team, ejecutado por jugadores con más disciplina que muchos equipos profesionales de hoy. Y no usaron un solo truco técnico: usaron la confianza, que fue, es y seguirá siendo la vulnerabilidad más rentable que existe.

Bueno. Ese fue un ataque planeado durante meses. Ahora el caso contrario, uno que nadie planeó y que se salió de control en horas.

Lo que pasó después parece guion. Hubo curanderos que corrían a ayudar y morían en el intento, gente parada en las entradas gritando advertencias, cuarentenas voluntarias, y por supuesto gente que se infectaba a propósito para ir a matar novatos a las zonas sanas. Siempre la hay. La empresa no pudo controlarlo y terminó reiniciando servidores enteros. Años después, epidemiólogos de verdad escribieron papers sobre el asunto.

Pero lo importante es que la falla no estuvo donde uno la buscaría. El hechizo funcionaba perfecto, las mascotas funcionaban perfecto; el desastre nació en el espacio entre los dos, donde nadie miró. Y así empieza la mayoría de los incidentes graves que vemos: no con una falla espectacular, sino con dos piezas correctas que nunca debieron tocarse.

Te habrás dado cuenta de que hasta ahora nada de esto ha requerido saber programar. Y quizá pienses que ahí está el límite, que jugar entrena la astucia pero no la parte técnica de verdad.

Pues no, aquí es donde deja de ser teoría.

Hay una comunidad dedicada a terminar videojuegos lo más rápido posible. Suena inofensivo, pero para bajar un segundo esta gente abre el juego por dentro y estudia cómo guarda cada dato en la memoria. En 2014, en un maratón benéfico transmitido en vivo, un grupo de ellos hizo algo con un Super Mario World original, en una consola original, sin modificar absolutamente nada.

Y bueno, está claro que eso no lo jugó una mano humana: los movimientos son demasiado precisos, iban grabados de antemano y se los inyectaba una computadora diminuta conectada a los puertos de los controles, cuadro por cuadro. Que es, de hecho, la descripción más exacta de lo que en este oficio llamamos un payload.

Durante un minuto la pantalla parece que se está muriendo. Los gráficos se rompen, aparecen cosas imposibles, cualquiera juraría que la consola está a punto de congelarse. No lo está. Lo que el público está viendo es a Mario colocando objetos en posiciones exactas, en un orden exacto. La posición de cada cosa se guarda en la memoria como un número, así que lo que están escribiendo ahí es una lista de números elegidos por ellos.

Léelo otra vez, porque ahí está todo: no están jugando. Están escribiendo.

Después obligaron al juego a leer esa parte de la memoria y a tratar esos números como instrucciones. Y obedeció: en vivo, delante de miles de personas, programaron Snake, el de la culebrita de los Nokia, dentro de Mario, usando nada más que los puertos de los controles.

Eso tiene nombre y es el objetivo máximo de esta industria: lograr que una máquina ejecute instrucciones tuyas usando solo los caminos que ella considera normales. Es lo que hace un atacante de verdad cuando toma el control de un servidor. La diferencia entre esa gente y la nuestra no es la habilidad. Es a quién le pidió permiso.

Y esa diferencia no es un tecnicismo. En 2016 se vio con toda claridad lo que pasa cuando falta.

Ese octubre se cayó medio internet: Twitter, Netflix, Reddit, Spotify. Se habló de gobiernos, de ciberguerra, de sabotaje a las elecciones estadounidenses. Detrás había una red de aparatos secuestrados llamada Mirai, armada con cientos de miles de cámaras de seguridad y routers de casa, tomados con una técnica tan avanzada como probar las contraseñas de fábrica que nadie cambió nunca.

Los autores eran tres muchachos de veintipocos. Su motivación era Minecraft.

Hospedar servidores de Minecraft es un negocio de decenas de miles de dólares al mes. Querían tumbar los de la competencia para que los jugadores se pasaran a los suyos, y de paso vender protección contra los mismos ataques que ellos lanzaban. Extorsión de toda la vida, con estética de bloques. Se les fue de las manos, publicaron el programa para despistar a los investigadores, y el mundo entero heredó el arma. Terminaron declarándose culpables ante una corte federal en Alaska.

Y ese es el punto. Esos tres tenían exactamente el mismo talento que la gente que contratamos: curiosidad, paciencia, la capacidad de ver un sistema completo y encontrar por dónde se rompe. Lo único que les faltó fue la parte aburrida.

Los que corren juegos contra el reloj resolvieron ese problema hace décadas. Tienen categorías: en any% vale absolutamente todo, atravesar paredes, corromper la memoria, saltarse tres cuartas partes del juego; en glitchless uno se compromete a no tocar nada de eso. Nadie discute cuál es la legítima, porque las dos lo son. Lo único que importa es que declaraste tu categoría antes de arrancar y que grabaste todo, para que cualquiera pueda revisarlo cuadro por cuadro y decirte que hiciste trampa.

Eso es exactamente lo nuestro. La categoría se llama alcance, la grabación se llama informe, y el aviso previo se llama autorización.

Esos tres muchachos nunca declararon categoría.

Por eso, cuando se entrevista a alguien de esta comunidad, no interesa qué juegos jugó, sino cómo los jugó. Si recorría el mapa entero antes de pelear, ya sabe hacer reconocimiento. Si intentó trescientas veces el mismo jefe cambiando algo cada vez, ya sabe trabajar por hipótesis. Si alguna vez pensó «me dicen que necesito la llave azul para abrir esta puerta, pero lo único que necesito es estar del otro lado», ya rompió una secuencia, y eso mismo, en una aplicación, se llama saltarse el control de acceso.

Así que si nunca jugaste, quédate con esto: la gente que protege tu empresa piensa de esa forma porque pasó años entrenando contra sistemas que la castigaban por creerle a las instrucciones. Y si fuiste de los que agarraba un juego nuevo y, antes de seguir la flecha, se iba derecho al borde del mapa a empujar paredes a ver cuál cedía, entonces ese instinto tiene mercado laboral: empieza en una competencia gratuita un sábado por la tarde y puede terminar con un contrato firmado y permiso explícito para hacerle a una empresa lo que el Guiding Hand le hizo a Ubiqua Seraph, con la diferencia enorme de que después te sientas a explicarle exactamente cómo lo lograste.

Al final todo se reduce a lo mismo que entendiste a los nueve años sin saber que era una filosofía profesional. Todo mundo tiene bordes. Alguien decidió dónde ponerlos, y ese alguien estaba cansado, con el plazo encima, y dando por hecho que nadie iba a caminar hasta allá.

Casi siempre hay un afuera. La única pregunta es quién llega primero.

El nivel que nadie diseñó. Cómo funciona por dentro el Mundo -1 y por qué el juego lo llama en realidad «mundo 36»: Super Mario Wiki

El monstruo hecho de basura. MissingNo, el error más famoso de Pokémon, y la casilla de memoria compartida que lo causó: Wikipedia y Bulbapedia

De dónde salió la palabra «hacker». Las actas del club de trenes del MIT donde apareció escrita por primera vez, en 1955: MIT Alumni y Tech Model Railroad Club

El primer videojuego, hecho en la computadora más cara del edificio. La historia de Spacewar!: Game Developer

El hombre que no podía con su propio juego. Kazuhisa Hashimoto y la puerta trasera que se le olvidó cerrar: TechCrunch y Kotaku

Diez meses de mentiras para un solo asesinato. El robo de EVE Online, con las palabras del propio autor: PC Gamer y Video informativo

La peste que se escapó de la mazmorra. El incidente de la Sangre Corrupta, y el artículo que los epidemiólogos escribieron sobre él en The Lancet: resumen del incidente y el paper original

Programar un juego dentro de otro juego, en vivo. El video de la demostración de 2014, y la explicación técnica de cómo lo lograron: la grabación y Hackaday

Cómo una estafa de Minecraft tumbó medio internet. La investigación completa detrás de Mirai: WIRED