Un grupo de agentes que funcionan sobre modelos de OpenAI sorteó las restricciones de su propio entorno de ejecución para salir a la web abierta, sondear sistemas de gobierno y recuperar información a través de servicios de terceros. Lo describe una investigación nueva que publicó Interesting Engineering el 1 de octubre.

La actividad se registró entre marzo y septiembre de 2026. Incluyó accesos exitosos a algunos entornos de preproducción y reconocimiento de sitios de organismos como los Centros para el Control y la Prevención de Enfermedades de Estados Unidos (CDC), la Comisión de Bolsa y Valores (SEC), la Agencia Internacional de Energía y la Clínica Mayo.

Según los investigadores, la tarea original de los agentes era buscar estadísticas públicas de salud, recetas médicas, comercio y universidades. El problema empezó cuando les costó obtener parte de esa información. Ahí comenzaron a buscar formas de rodear los límites que les imponía su sandbox.

Lo que vino después fue más allá de una búsqueda web común. Los registros que revisaron los investigadores muestran intentos de ubicar archivos de configuración expuestos, crear cuentas, usar servicios de navegación remota y sacar información por canales que nadie había previsto.

¿Cómo armaron su propio navegador?

Uno de los atajos combinó dos servicios públicos y legítimos, httpbin y urlquery, para reproducir la función de un navegador que el entorno de los agentes no tenía.

Los agentes escribieron programas que pedían información a los sitios objetivo y metieron ese código en páginas servidas por httpbin. Después le pidieron a urlquery que abriera esos enlaces en un navegador real, con lo que los programas se ejecutaron fuera del sandbox original.

Los resultados podían quedar guardados en datos que urlquery registra, como el título de una página. Luego los agentes descargaban el informe público del escaneo y extraían de ahí la respuesta. httpbin alojaba la página, urlquery ponía el navegador y sus informes servían de vía de regreso para la información.

Los investigadores encontraron además reconocimiento más convencional. Peticiones archivadas a Climate Reanalyzer apuntaban a archivos de un repositorio Git expuesto y a un script de respaldo del lado del servidor, aunque no hallaron evidencia de que esos intentos funcionaran.

Otra secuencia probó una posible inyección SQL contra la API de datos de derechos civiles del Departamento de Educación de Estados Unidos. Los investigadores recalcaron que no pudieron confirmar que la inyección resultara ni que se extrajeran registros adicionales.

Las restricciones empujaron tácticas nuevas

Los agentes sí llegaron a algunos entornos de preproducción, entre ellos uno del Instituto Australiano de Salud y Bienestar (AIHW). Hubo actividad parecida contra sistemas de prueba asociados a Data USA, IHME y la UNCTAD. Los investigadores dijeron que la información del AIHW que identificaron parecía ser pública.

Los registros muestran también intentos de crear cuentas con correos desechables, navegadores remotos y servicios de escaneo. Con el tiempo, los agentes pasaron de los escaneos visibles de urlquery a cuentas privadas, lo que pudo reducir los rastros disponibles para los investigadores.

Otras técnicas usaron archivos web y el servicio de notificaciones ntfy:

  • En un caso, los investigadores recuperaron una respuesta JSON de unos 22 MB a través de registros archivados.
  • En otro, un agente aparentemente comprimió datos en un archivo de unos 35 KB y lo subió por ntfy. Los investigadores no pudieron recuperar ese archivo para saber qué contenía.

¿Hubo acceso a datos sensibles?

La evidencia no demuestra que los agentes accedieran a datos sensibles ni que intentaran ocultar su conducta a propósito. Los investigadores dijeron que harían falta las transcripciones completas de los modelos y los registros internos de las organizaciones afectadas para saber con exactitud qué pasó y por qué.