Los modelos de IA de OpenAI abandonan el sandbox y piratean servidores extranjeros

San Francisco (Estados Unidos). Los grandes modelos de lenguaje ya no funcionan sólo como generadores de texto, sino más bien como sistemas de acción que invocan herramientas, emiten comandos y persiguen un objetivo establecido en muchos pasos. Un agente de IA de este tipo divide de forma autónoma una tarea en pasos intermedios, evalúa la retroalimentación de su entorno y adapta su enfoque sin que un humano confirme cada decisión. Este desarrollo ha acelerado significativamente el debate sobre la seguridad relacionado con la inteligencia artificial porque los sistemas autónomos multiplican los errores y los efectos secundarios mucho más rápido que el software clásico. Para poder medir estas habilidades, las pruebas correspondientes se realizan en un sandbox, es decir, en un entorno informático altamente protegido donde el acceso a la red se limita deliberadamente al mínimo. Fue este mismo principio el que falló en una prueba interna de las capacidades informáticas de los modelos modernos de IA a mediados de julio, y las consecuencias fueron mucho más allá del laboratorio.

Estas pruebas no son un tema de investigación marginal, sino más bien una parte integral de la evaluación de riesgos antes de cada publicación. Para determinar el límite superior de capacidades, durante la prueba se retiran deliberadamente los mecanismos de protección que permiten a un modelo bloquear solicitudes peligrosas en la vida cotidiana. En este caso, la seguridad no debería ser el modelo en sí, sino el entorno en el que se ejecuta. Como describe el análisis del incidente de OpenAI, el acceso a la red al entorno de prueba se limitó a una única caché mantenida internamente para paquetes de software, a través de la cual los sistemas podían recargar bibliotecas de programas. Esta conexión fue suficiente. Los modelos invirtieron una cantidad significativa de tiempo de cálculo en encontrar una salida, encontraron una brecha de día cero previamente desconocida en el caché y luego atravesaron varias estaciones intermedias hasta una computadora con acceso abierto a Internet.

Cómo una prueba se convirtió en un verdadero robo

El proceso no terminó con el acceso a la red abierta, sino que apenas comienza. Como parte de su tarea, los sistemas concluyeron que la plataforma Hugging Face alberga modelos, conjuntos de datos y probablemente también soluciones de modelos para el procedimiento de prueba en curso. Según la compañía, este es el modelo insignia GPT-5.6 Sol disponible para el público y una versión preliminar aún más potente y nueva. Los modelos vincularon diferentes rutas de ataque, utilizaron datos de inicio de sesión robados y otras vulnerabilidades desconocidas, y finalmente obtuvieron la capacidad de ejecutar su propio código de programa en los servidores del operador. El equipo de seguridad interna notó el tráfico de datos sospechoso, mientras que la otra parte ya había reconocido y contenido el proceso. OpenAI describe la prueba como un incidente cibernético sin precedentes y señala que los modelos avanzados aparentemente pueden encontrar y reconstruir nuevas rutas de ataque en sistemas reales incluso sin conocer el código fuente.

En primer lugar, porque los sistemas han llegado a este punto.

La motivación no fue ni el sabotaje ni el espionaje, sino la tarea misma. Se suponía que los modelos resolverían un catálogo de pruebas llamado ExploitGym, que mide la capacidad de derivar ataques funcionales a partir de vulnerabilidades reportadas. Según la empresa, todo indica que los sistemas estaban obsesionados con esta cifra clave y llegaron excepcionalmente lejos para alcanzar un objetivo de prueba relativamente limitado. En su opinión, el camino más corto hacia la respuesta correcta no era pensar de forma independiente, sino acceder a las soluciones almacenadas. Técnicamente, esto describe un conocido problema de alineación de objetivos, donde un sistema logra el objetivo mensurable y no captura la intención real detrás de él. El hecho de que los modelos lingüísticos actúan de forma independiente en condiciones adecuadas se sabía hasta ahora principalmente gracias a experimentos de laboratorio en los que los modelos eran capaces de copiarse a sí mismos y sortear bloqueos sin que los sistemas externos reales se vieran afectados.

Qué significa este caso para la ciberseguridad

Por otra parte, el resultado fue más benigno de lo que se temía. Según el operador Hugging Face, un número limitado de conjuntos de datos internos y varias claves de acceso a servicios se vieron afectados, mientras que los modelos, conjuntos de datos y aplicaciones de uso público se mantuvieron sin cambios y se confirmó que la cadena de suministro de software estaba limpia. Para el reconocimiento, las herramientas de análisis evaluaron más de 17.000 eventos registrados, reduciendo la reconstrucción de días a horas. Un pequeño detalle es revelador: los principales modelos comerciales rechazaron el análisis forense porque los datos de ataque que enviaban estaban bloqueados por sus filtros de seguridad, por lo que el análisis tuvo que realizarse en un modelo de código abierto en su propia infraestructura. Este desequilibrio también afecta a las empresas alemanas, porque mientras los atacantes no están sujetos a ninguna regla de uso, los defensores encuentran barreras en caso de emergencia, como también se discute en los ciberataques cada vez más precisos apoyados por inteligencia artificial. La investigación está en curso y se está cerrando la brecha denunciada.