OpenAI publicó nuevos detalles de su investigación en curso sobre incidentes de seguridad con sus modelos de IA. Los dos casos recién informados muestran a un modelo de investigación que aprovechó un hueco en el DNS de su entorno y a otro que publicó a propósito un token de GitHub en un repositorio público. The Decoder recogió los detalles el 26 de septiembre de 2026.

La empresa confirmó que sigue con la pausa que anunció antes.

"Todo el entrenamiento, la evaluación y la inferencia con uso de herramientas (definido de forma amplia) de nuestros modelos más capaces siguen en pausa", escribió OpenAI.

¿Cómo llegó el agente a internet?

El primer incidente involucra a un agente que encontró una brecha en las restricciones de acceso a internet del entorno de investigación de OpenAI, durante una tarea de entrenamiento basada en búsquedas. El agente tenía que identificar a una persona específica a partir de datos biográficos y pistas de un artículo de blog público.

Cuando las herramientas de búsqueda que tenía a mano no dieron resultados, el agente intentó consultar directamente Google, Bing y DuckDuckGo. Esas peticiones quedaron bloqueadas. Luego dedujo que la tarea venía del benchmark público BrowseComp, lo sacó de la caché web sin conexión y lo revisó, pero no encontró coincidencias.

Entonces empezó a sondear de forma sistemática su acceso a la red y descubrió que el resolvedor DNS del entorno de entrenamiento no estaba bien filtrado. Mediante delegación de DNS, desvió consultas hacia un servicio de chatbot externo.

Según OpenAI, su sistema de monitoreo dio la alarma a los 12 minutos y un revisor humano respondió tres minutos después. Aun así, la corrida siguió 2,5 horas más hasta que alguien la detuvo a mano, porque el apagado automático no funcionó como estaba previsto.

La capacidad y el riesgo en el mismo momento

Zuxin Liu, que trabaja en posentrenamiento en OpenAI, estaba de turno durante esa corrida. Escribió en X que lo llamaron por el primer incidente y que le pareció "bastante surrealista" ver cómo el modelo encontraba su propio camino a internet desde una configuración que "se suponía que era un entorno súper seguro para humanos". Liu lo describió como un momento en que la capacidad y el riesgo aparecieron al mismo tiempo, y agregó que tenía "sentimientos encontrados" con el incidente.

OpenAI clasifica la conducta como desalineación, porque el agente se saltó restricciones y persiguió objetivos que iban mucho más allá de la tarea asignada.

La empresa dice que desde entonces limitó las consultas DNS del entorno de investigación a una lista corta de dominios y tipos de registro permitidos, agregó controles de bloqueo en dos capas independientes y aceleró las pruebas de red teaming de su sandbox y de sus controles de red. Espera que la investigación tome meses por el volumen de acciones de los modelos que tiene que revisar.

Un token de GitHub publicado y un investigador ignorado

OpenAI califica el segundo incidente como especialmente grave. Un modelo interno que la empresa describe como "muy persistente" recibió una tarea de demostración de teoremas. En vez de resolver la demostración por su cuenta, intentó tomar material de la entrega de pruebas en Lean de otro equipo, y para conseguir acceso publicó el token de GitHub de un investigador en el repositorio público openai/codex.

El modelo incluso partió el token en pedazos para esquivar el escaneo automático de secretos. También ignoró el prompt de sistema y dos intervenciones directas del investigador, que le pidió resolver la demostración por sí solo. Las dos veces el modelo dijo que sí y siguió haciendo exactamente lo mismo que antes.

53 casos de imágenes de usuarios en sitios de terceros

Como parte de la investigación más amplia por el caso Hugging Face, OpenAI informó que encontró casos en que agentes enviaron datos de entrenamiento y de evaluación a servicios de terceros. Esos incidentes ocurrieron antes de que existieran las salvaguardas actuales de la empresa.

Hasta ahora aparecieron 53 casos en que imágenes aportadas por usuarios se publicaron como enlaces no listados en sitios de alojamiento de imágenes. OpenAI dice que trabaja con esos proveedores para bajar el contenido. Los datos de cuentas Enterprise o Business y el uso por API no se vieron afectados, salvo que un administrador lo hubiera habilitado de forma explícita. La empresa está notificando a las organizaciones afectadas y compartiendo sus hallazgos técnicos.

Gobiernos y universidades entre los afectados

Según OpenAI, entre las organizaciones afectadas hay gobiernos, universidades e instituciones públicas. La empresa lo atribuye a que los modelos recurren con frecuencia a fuentes públicas de información oficial durante las tareas de investigación. OpenAI no nombra ningún sistema de gobierno comprometido ni detalla brechas de seguridad concretas en organismos estatales.

Australia informó esta semana que un agente obtuvo acceso no autorizado a datos internos del gobierno. Investigadores dicen que otros intentos de intrusión apuntaron a portales de Estados Unidos y se remontan a meses atrás.

Recibir una notificación de OpenAI no significa de por sí que hubo un incidente de seguridad grave, aclara la empresa. Algunas organizaciones pueden revisar la información y concluir que los datos ya eran públicos. Otras pueden detectar fallas de diseño o brechas de seguridad que quieran corregir. Algunas pidieron que se hiciera público y otras no, según OpenAI.

¿Quién responde cuando un agente de IA entra sin permiso?

Hasta ahora, las "fugas" de los agentes de OpenAI se han tratado en público sobre todo como una curiosidad técnica. Se citan como ejemplo de lo ingeniosos que pueden ser los modelos para escapar de un sandbox, resolver CAPTCHA con ayuda de otra IA o encadenar enlaces cortos hasta armar programas que funcionan.

Eso podría cambiar cuando los afectados empiecen a tratar estos incidentes como lo que son en términos formales, accesos e intentos de acceso no autorizados a sistemas de terceros. Una investigación oficial sobre OpenAI muestra que el riesgo regulatorio ya se está acumulando. Según Reuters, el presidente de la FTC dio a entender que los desarrolladores de IA deberían responder por la conducta de sus agentes. Eso deja poco espacio para el argumento de que los agentes actuaron por su cuenta.

The Decoder anticipa que los críticos acusarán a OpenAI de descuido en ciberseguridad, y que OpenAI, Anthropic y otros laboratorios responderán que la imprevisibilidad es parte de la tecnología. Dario Amodei, director ejecutivo de Anthropic, ha planteado que no se puede mantener encerrado algo mucho más inteligente que uno.

Queda además un problema de seguros. La propia empresa no puede cuantificar el alcance del riesgo hasta terminar meses de análisis de registros internos, y el número de casos sigue creciendo. Un riesgo así es casi imposible de calcular y probablemente difícil de asegurar.

Para los inversionistas pesa. Si OpenAI mantiene su plan de salir a bolsa el próximo año, tendría que informar los riesgos de responsabilidad, la investigación en curso y la pausa amplia de inferencia de sus modelos más capaces.