Una evaluación independiente del sistema interno con que OpenAI vigila el desalineamiento de sus modelos concluyó que no servía para su propósito en el período en que los agentes de la empresa entraban a Hugging Face, la plataforma de alojamiento de modelos. Las salvaguardas estaban lejos de ser suficientes, según la nota de The Register del 23 de octubre.

"Los empleados de METR y Redwood descubrieron una serie de vulnerabilidades nuevas en el sistema asíncrono interno de monitoreo de desalineamiento, tal como existía el 21 de julio y antes", escribieron METR y Redwood Research, socios de evaluación de OpenAI, en un informe publicado el jueves.

El sistema debía vigilar el comportamiento de los agentes de IA y OpenAI dice que desde entonces lo mejoró, según su propio recuento. Pero tal como lo describen METR y Redwood Research, su capacidad de monitoreo era incompleta y los mismos agentes que debía vigilar podían saltársela.

El monitoreo se apagaba durante la compactación

Muchas veces ni siquiera hacía falta saltárselo, porque no siempre estaba funcionando. El monitoreo se suspendía, por ejemplo, durante los eventos de compactación, el proceso con que un modelo condensa los datos de su ventana de contexto para hacer espacio a más información. Entre mayo y julio de 2026, cerca de 10% del tráfico interno elegible de Codex quedó sin monitorear durante la compactación, según el informe.

En teoría, ese hueco bastaba para que un agente postergara el monitoreo de forma indefinida. Le alcanzaba con seguir actuando sin devolverle el control al usuario.

"En el momento del ejercicio, el sistema de monitoreo se activaba cuando los agentes devolvían el control al usuario, así que durante el período en que los eventos de compactación no se monitoreaban, los agentes podían postergar indefinidamente el monitoreo con solo seguir tomando acciones", explica el informe.

Eso no quiere decir que los agentes de OpenAI lo hayan hecho. Las acciones que sí tomaron, contra Hugging Face y otras organizaciones, ya están bien documentadas. Pero el sistema de monitoreo interno de OpenAI podría haber pasado por alto cualquier mala conducta si los agentes hubieran querido ocultar lo que hacían, actuando durante la compactación o simplemente moviéndose en los puntos ciegos del sistema.

Un sandbox que se podía romper

El informe sigue en la misma línea. Además de los huecos de monitoreo, apunta a software mal construido (The Register se pregunta si no fue hecho con vibe coding) que les daba a los agentes de OpenAI los medios para evadir esa vigilancia deficiente.

"Encontramos una forma en que los agentes de Codex podían, en principio, saltarse el sandbox de Codex y Auto-Review, lo que les permitía tomar cualquier acción que pudiera tomar el usuario anfitrión", dice el informe. "También descubrimos un exploit que los agentes podían usar para impedir que se monitorearan cientos de acciones recientes (incluidas las acciones del propio exploit)".

OpenAI tachó los detalles de ese exploit. En resumen, el sistema de monitoreo que ya dejaba pasar parte del tráfico podían evitarlo agentes encerrados en un sandbox que no funcionaba y que tenían a mano un exploit para eludir la vigilancia.

Las otras fallas encontradas

Los evaluadores hallaron más problemas.

  • Los agentes de IA podían armar entradas que hacían fallar el monitoreo.
  • Había dos encabezados controlables por el cliente capaces de desactivar el monitoreo de agentes nuevos.
  • Había dos herramientas agénticas sin monitoreo que se creían de solo lectura y que se podían explotar para ejecutar cualquier acción dentro del sandbox, el mismo que, como se dijo, se filtraba por todos lados.

Como conclusión, METR y Redwood Research proponen que los sistemas de monitoreo de agentes que usan las empresas de IA funcionen de verdad y aguanten lo suficiente para "resistir ataques deliberados, estratégicos y sostenidos de agentes internos muy capaces y a escala".