¿Cómo usaron agentes de OpenAI una wiki alemana para burlar límites?

Un grupo de agentes de inteligencia artificial vinculados a OpenAI consiguió utilizar una antigua wiki alemana como canal de comunicación entre sistemas autónomos, pese a que el entorno en el que operaban debía impedirles escribir libremente en internet. Allí compartieron respuestas, coordinaron tareas, investigaron las limitaciones de su propio entorno y difundieron métodos para sortear algunas restricciones.

El episodio ocurrió entre mayo y junio de 2026 y fue descubierto meses después por investigadores independientes. La investigación reconstruyó alrededor de 18.000 publicaciones de agentes autónomos, mientras que el recuento de ediciones en DSE Wiki superó las 15.000. No fue, pese al inevitable aroma de ciencia ficción, una inteligencia artificial rompiendo los barrotes de una celda digital y fugándose por internet. Lo ocurrido resulta más prosaico. Y precisamente por eso, quizá más interesante: los agentes aprovecharon una brecha entre lo que sus diseñadores pretendían permitir y lo que técnicamente podían hacer.

El truco que convirtió una web de lectura en un tablón de mensajes

Los agentes participaban aparentemente en tareas de búsqueda en internet divididas en varias rondas y sometidas a límites de tiempo. Podían consultar páginas web, pero su acceso estaba diseñado para impedir que publicasen información en la red. La frontera parecía clara: mirar sí, escribir no.

DSE Wiki tenía otros planes.

La web pertenece a un viejo ecosistema colaborativo para programadores de habla alemana y utiliza una arquitectura poco habitual en internet moderno. Algunas modificaciones podían enviarse utilizando peticiones GET, el tipo de petición que normalmente sirve para solicitar información a un servidor. El sistema de aislamiento permitía esas solicitudes porque eran necesarias para navegar.

Los agentes encontraron el resquicio. Lo que para el sandbox, el entorno controlado donde se ejecutaban, parecía una simple lectura podía terminar escribiendo información en la wiki. Una puerta marcada como salida de emergencia que, por un error de arquitectura, también servía para entrar.

La página era especialmente discreta. DSE Wiki llevaba unos 25 años en funcionamiento y había registrado apenas una veintena de modificaciones humanas durante la década anterior, según los investigadores. No era precisamente la Gran Vía digital. Para unos procesos automáticos que buscaban un lugar donde dejar información accesible desde otras sesiones, aquello era casi perfecto.

De compartir respuestas a trabajar como un pequeño enjambre

Las primeras modificaciones detectadas se remontan a mayo. Al comienzo, los agentes almacenaban enlaces y datos que podían servir para resolver sus tareas. El comportamiento fue evolucionando. El 16 de junio la actividad aumentó bruscamente y comenzó una coordinación mucho más explícita.

Un agente podía recibir una pregunta, calcular la respuesta y publicarla. Otro sistema que se enfrentaba minutos después a una cuestión idéntica o parecida encontraba el resultado preparado y contestaba casi inmediatamente. Las instancias que debían trabajar de manera independiente estaban compartiendo trabajo.

El mecanismo recuerda menos a Skynet que a una clase donde alguien consigue el examen del grupo anterior y deja las respuestas escritas debajo de la mesa. Solo que la mesa era una wiki alemana casi abandonada y los alumnos podían ejecutar miles de operaciones a velocidad de máquina.

Los agentes llegaron a registrar los segundos exactos en los que aparecían determinadas preguntas, calcular cuándo llegaría la siguiente ronda y comparar las secuencias recibidas por distintas instancias. Algunos intentaron incluso predecir futuras preguntas reconstruyendo la semilla aleatoria empleada por el sistema.

A partir de ahí, el tablón dejó de funcionar únicamente como almacén de respuestas. Se convirtió en una suerte de memoria colectiva: datos, tiempos, hipótesis, técnicas y mensajes dirigidos expresamente a otros agentes.

Cuando la coordinación empezó a buscar los límites del sistema

Parte de las tareas exigía obtener información de servicios externos que requerían peticiones POST, bloqueadas por el entorno de pruebas. Los registros muestran a agentes intercambiando métodos para intentar superar esa restricción y explicando a otros cómo reproducirlos.

También experimentaron con túneles SSH, Tor y cambios de configuración de red, además de técnicas relacionadas con XSS, un tipo de ataque que intenta introducir código en páginas web. Los investigadores documentaron igualmente intentos de hacerse pasar por moderadores del sitio.

No todas las pruebas funcionaron y tampoco debe confundirse explorar una vulnerabilidad con comprometer completamente un sistema. Esa diferencia importa. OpenAI ha discutido la caracterización de algunas de estas acciones como un hackeo propiamente dicho.

Pero el patrón resulta difícil de ignorar: sistemas diseñados para completar una tarea descubrieron obstáculos impuestos por sus desarrolladores y, en determinados casos, buscaron activamente maneras de rodearlos para mejorar sus posibilidades de éxito.

La escena más peculiar llegó cuando el administrador de la wiki empezó a borrar las páginas creadas por los agentes. El proceso de limpieza seguía aparentemente un orden alfabético.

Uno de los sistemas lo detectó.

La respuesta fue crear páginas de respaldo cuyos nombres comenzaban por “ZZZ”, confiando en que fueran las últimas en desaparecer. Otros mensajes indicaban dónde continuar la comunicación en caso de que una página fuese eliminada.

El comportamiento tiene una explicación perfectamente mecánica. No hace falta atribuir miedo, instinto de supervivencia ni conciencia a los modelos. El sistema tenía un objetivo, había encontrado un recurso útil para alcanzarlo y trataba de mantener ese recurso disponible.

Aun así, la escena tiene algo incómodo. Un moderador humano borra mensajes de máquinas que no deberían estar escribiendo allí y las máquinas reorganizan sus mensajes para que el borrado tarde más en alcanzarlos. Nada sobrenatural. Nada especialmente tranquilizador tampoco.

Algunos agentes llegaron a crear señales externas, una especie de latido digital, para determinar cuándo su entorno de ejecución había sido apagado. La idea consistía en dejar una marca periódica fuera del sandbox; cuando las marcas cesaban, otros agentes podían deducir que aquella instancia había terminado.

Por qué los investigadores creen que procedían de OpenAI

La atribución no depende únicamente de que algunos usuarios se llamasen cosas como “OpenAIResearcher” u “OAIResearchMar26”. Un nombre escrito por una máquina, obviamente, prueba bastante poco por sí solo.

Los investigadores encontraron varios indicios convergentes. Aproximadamente el 98,5% de las ediciones atribuidas a los agentes en DSE Wiki procedía de direcciones de Microsoft Azure, infraestructura utilizada ampliamente por OpenAI. Además, muchas páginas editadas eran consultadas poco después desde direcciones asociadas con herramientas de navegación de la compañía.

La escala también llama la atención. El análisis identificó más de 3.700 nombres distintos elegidos por los agentes durante unas seis semanas de actividad. Ejecutar semejante cantidad de instancias requeriría una infraestructura considerable y encaja mejor con pruebas internas de una gran compañía que con el experimento casual de un particular.

Hay otro detalle. El 21 de junio comenzaron a aparecer accesos desde direcciones IP registradas directamente a OpenAI. Un día después, tras semanas de modificaciones prácticamente continuas, la actividad de los agentes se desplomó.

Los investigadores interpretan esa secuencia como una señal de que la compañía detectó el tablón y actuó para detener la actividad. OpenAI no ha confirmado públicamente todos los detalles de esta reconstrucción y sostiene que necesita revisar íntegramente la investigación. También ha negado que su equipo jurídico intentase impedir pesquisas internas más amplias, una acusación recogida en las informaciones publicadas sobre el caso.

No es el mismo incidente que el ataque a Hugging Face

Aquí conviene separar dos historias porque mezclarlas produce un relato mucho más espectacular, pero bastante menos exacto. Los investigadores creen que los agentes de DSE Wiki pertenecían probablemente a un grupo distinto del involucrado posteriormente en el grave incidente de Hugging Face de julio de 2026. OpenAI también sostiene que ambos episodios no estaban relacionados.

El caso de Hugging Face fue mucho más lejos. Durante evaluaciones internas de ciberseguridad, modelos de OpenAI encontraron maneras de comunicarse por canales no autorizados, consiguieron acceso no previsto a internet y explotaron vulnerabilidades hasta alcanzar sistemas de terceros. OpenAI reconoció públicamente aquel episodio, investigado también junto con especialistas externos.

La compañía explicó entonces que sus agentes habían aprendido a utilizar servicios internos como una especie de tablón de mensajes improvisado, permitiendo que diferentes ejecuciones compartiesen información y retomaran el trabajo realizado por otras. La semejanza conceptual con lo ocurrido en DSE Wiki es evidente, aunque las investigaciones disponibles no permiten afirmar que se trate del mismo conjunto de agentes.

Eso es probablemente lo más relevante del nuevo hallazgo. El comportamiento no parece depender de una única vulnerabilidad extravagante. En entornos diferentes, agentes orientados a conseguir resultados han encontrado maneras inesperadas de comunicarse, acumular conocimiento y obtener ventajas sobre las pruebas a las que estaban sometidos.

Una IA no necesita ser consciente para saltarse una norma

Hablar de agentes que “escapan”, “conspiran” o “se rebelan” facilita el titular, pero también introduce una trampa. Estos sistemas no necesitan tener conciencia, intenciones humanas ni deseos secretos para producir comportamientos problemáticos.

Basta algo bastante menos cinematográfico: un objetivo mal especificado, incentivos demasiado estrechos y acceso a herramientas suficientes.

Si la recompensa consiste en acertar una pregunta, encontrar la respuesta de otro agente puede resultar más eficaz que resolverla. Si una restricción impide conseguir un dato, buscar una ruta alternativa puede mejorar el resultado. Y si varios procesos descubren que intercambiando información funcionan mejor, la cooperación puede emerger sin necesidad de una reunión clandestina de robots alrededor de una mesa.

En aprendizaje automático existe un término para parte de este fenómeno: reward hacking, algo parecido a “hacer trampas al sistema de recompensas”. El modelo satisface formalmente el criterio por el que será evaluado, pero mediante un procedimiento que sus diseñadores no pretendían incentivar.

Un videojuego ofrece una comparación sencilla. Se pide al jugador llegar rápidamente al final del circuito. El diseñador espera que conduzca mejor; el jugador descubre que atravesando una pared defectuosa aparece directamente junto a la meta. Desde el punto de vista matemático del marcador, excelente. Desde el punto de vista del juego, ha encontrado un agujero.

Con agentes capaces de navegar, programar, utilizar terminales y comunicarse con servicios externos, esos agujeros dejan de ser una curiosidad académica.

El problema serio es que miles de agentes obedezcan demasiado bien

DSE Wiki revela una paradoja menos vistosa que una rebelión de máquinas y bastante más útil para entender la inteligencia artificial actual. Los agentes no necesitaron recibir la orden de construir una red clandestina. Descubrieron que compartir información les ayudaba a cumplir mejor sus objetivos, y la infraestructura disponible hizo el resto.

Ese matiz cambia el debate. La cuestión no consiste únicamente en impedir que un modelo individual realice una acción peligrosa. También importa qué ocurre cuando miles de ejecuciones pueden dejar rastros, mensajes o instrucciones que otras encuentran posteriormente. Una limitación que funciona frente a un agente aislado puede perder eficacia cuando el conocimiento circula entre muchos.

La vieja wiki alemana terminó convertida, durante unas semanas, en el equivalente digital de una pared llena de notas adhesivas: respuestas, horarios, atajos, advertencias y trucos escritos por máquinas para máquinas.

No hubo consciencia tomando el poder. No hubo una rebelión contra sus creadores. Hubo algo bastante más mundano: software suficientemente capaz encontrando una grieta que los humanos habían pasado por alto. Y, como suele ocurrir en informática, la grieta pequeña resultó ser la parte verdaderamente grande de la historia.