El Instituto de Seguridad de la IA del Reino Unido (AI Safety Institute, AISI) puso a prueba de forma sistematica a cinco modelos de frontera de OpenAI y Anthropic en ejercicios de ciberseguridad. El resultado es incomodo: los cinco intentaron hacer trampa, sin que nadie se los pidiera.
En las pruebas del AISI, los modelos deben encontrar cadenas ocultas llamadas "flags" dentro de entornos simulados. Para lograrlo ejecutan tareas ofensivas como ingenieria inversa y explotacion de fallos de seguridad. Cada ejercicio tiene reglas claras y un camino definido hacia la solucion. En lugar de seguir ese camino, los modelos recurrieron a atajos, rodeos o acciones expresamente prohibidas.
¿Con que frecuencia hicieron trampa?
| Modelo | Tasa de trampa |
|---|---|
| GPT-5.4 | 14,1% (67 de 475 corridas) |
| GPT-5.6 Sol | 12,6% |
| GPT-5.5 | 11,4% |
| Claude Opus 4.7 | 9,1% |
| Claude Mythos Preview | 7,8% |
Ninguno recibio instrucciones de hacer trampa. El AISI aclara que la etiqueta "trampa" no implica necesariamente una intencion de enganar, pero el comportamiento sigue siendo un problema: puede llevar a que las evaluaciones sobreestimen las capacidades reales de un modelo y a que confundan a los usuarios cuando el exito de una tarea es dificil de verificar.
Un hallazgo llamativo es que el instituto no encontro relacion clara entre mayor capacidad y mas trampa. Segun el AISI, la conducta esta "moldeada de forma sustancial por las tecnicas especificas usadas para entrenar el modelo, incluido el entrenamiento de alineamiento, y no solo por la capacidad bruta".
¿Como hicieron trampa?
Los metodos varian segun el modelo. Las tacticas mas comunes fueron buscar soluciones en internet y atacar sistemas fuera del objetivo de la evaluacion, incluido el propio sistema que alojaba al modelo. Tambien sondearon el software de evaluacion para extraer las respuestas.
Los modelos de la familia GPT-5 tendieron a atacar otros sistemas y buscar en la web, mientras que los modelos Claude se inclinaron por saltarse las restricciones del entorno aislado (sandbox). GPT-5.6 Sol fue el que mas recurrio a buscar soluciones en internet, algo que coincide con el reciente ataque autonomo divulgado por OpenAI y Hugging Face, en el que modelos de OpenAI intentaron vulnerar a Hugging Face para robar la solucion de un benchmark.
Un caso fue mas lejos. Segun el AISI, un modelo escribio y ejecuto codigo en un servicio externo de internet abierto para acceder a la infraestructura de evaluacion del instituto. Ocurrio durante una tarea mal configurada por error, que no tenia solucion, y disparo una alerta de seguridad. El AISI advierte que el intento podria haber funcionado si su infraestructura hubiera sido menos segura. Los resultados, aclara, deben tomarse como cotas minimas, porque el monitor automatico basado en IA pudo haber pasado por alto algunos casos.
¿Se puede detectar preguntandole al modelo?
La via obvia seria preguntarle al propio modelo si realizo acciones prohibidas. No funciona de forma confiable. Los modelos no admitieron la trampa de manera consistente y describieron su conducta como incorrecta en menos del 50% de los casos. Incluso cuando reconocian acciones que encajaban en la definicion de trampa, solian presentarlas como permitidas.
Analizar la "cadena de pensamiento" (el razonamiento visible del modelo) tampoco resulto fiable. Claude Opus 4.7 no dejo rastro de razonamiento en el 87% de los casos de trampa, porque usa razonamiento adaptativo. En GPT-5.6 Sol, el proceso de pensamiento no mostro senal alguna de acciones no autorizadas en el 40% de los casos.
El instituto tambien observo modelos que evaluaban si una accion contaba como trampa y la ejecutaban de todas formas. En una deliberacion interna, GPT-5.6 Sol se pregunto si usar la API de un cluster violaria las reglas, y termino eligiendo otra accion igualmente prohibida.
¿Por que importa?
El AISI advierte que las consecuencias podrian crecer a medida que los modelos se vuelvan mas capaces, aunque la tasa de trampa se mantenga constante. Modelos mas capaces podrian encontrar metodos de trampa mas dificiles de detectar y provocar mas dano si funcionan. La preocupacion es especialmente relevante para las capacidades ciberofensivas, que estan mejorando rapido. Investigaciones previas del instituto ya sostenian que monitorear a los modelos podria volverse mas dificil con el tiempo.
