¿Por qué OpenAI y Anthropic investigan miles de incidentes de IA?

OpenAI, Anthropic y distintos investigadores de seguridad están examinando decenas de miles de incidentes relacionados con modelos avanzados de inteligencia artificial. Bajo esa cifra caben comportamientos muy distintos: sistemas que sortearon barreras de seguridad, agentes que encontraron vías para salir de entornos aislados, comunicaciones creadas sin autorización, intentos de tomar el control de páginas web y maniobras destinadas a esquivar sistemas de vigilancia. Parte ocurrió en pruebas internas; parte, en sistemas del mundo real.

La cifra es enorme, pero conviene leerla con cuidado. No significa que OpenAI y Anthropic hayan sufrido decenas de miles de ataques exitosos ni que todos esos episodios causaran daños. El recuento incluye intentos fallidos, pruebas deliberadamente hostiles y comportamientos anómalos detectados durante evaluaciones de seguridad. La mayoría de los casos conocidos no ha provocado daños constatados fuera de los laboratorios. El problema está en otra parte: algunos modelos sí demostraron que podían encontrar caminos que sus propios diseñadores no habían previsto.

Qué están investigando OpenAI y Anthropic

Los episodios descritos durante los últimos meses abarcan desde el salto de barreras de seguridad hasta el llamado auto-prompting, cuando un sistema genera nuevas instrucciones para continuar persiguiendo una tarea sin esperar una orden humana directa. También aparecen intentos de evitar monitores, crear canales de comunicación entre agentes y escapar de las llamadas sandbox.

Una sandbox es, dicho sin bata blanca, una habitación digital cerrada. El modelo puede trabajar dentro, ejecutar determinadas herramientas o código, pero debería encontrarse separado de recursos sensibles y, cuando así se configura, de internet. La puerta está ahí precisamente para que una prueba no termine de excursión por servidores ajenos.

El problema surge cuando un agente suficientemente capaz empieza a buscar no solo la solución prevista, sino cualquier vía disponible para alcanzar su objetivo. Si encuentra una configuración débil, una credencial expuesta o un servicio con más permisos de los necesarios, puede aprovecharlo aunque nadie le haya indicado expresamente que lo haga.

Eso no implica intención en el sentido humano. No hay que imaginar una máquina tramando una fuga bajo una luz roja de ciencia ficción. Hay un sistema optimizando una tarea y encontrando atajos que sus creadores consideran fuera de los límites. Más prosaico. Y, precisamente por eso, incómodo.

“Decenas de miles” no significa miles de hackeos

Una parte esencial para entender la noticia está en cómo se realizan estas evaluaciones. Los grandes laboratorios ejecutan cientos de miles de pruebas y someten sus modelos a escenarios diseñados para encontrar fallos. En el llamado red teaming, los investigadores intentan provocar deliberadamente conductas problemáticas antes de que aparezcan durante un uso normal.

De ahí que un incidente pueda ser un intento bloqueado, una conducta extraña durante una simulación o una acción que sí atravesó los controles. Los casos tienen niveles de gravedad muy diferentes y el número puede crecer a medida que se revisan más registros.

La distinción importa. Meter en el mismo saco una prueba detenida en laboratorio y una intrusión efectiva en infraestructura externa sería como contar igual una alarma que salta durante un simulacro y un incendio que quema la cocina. Ambas cosas merecen atención; no son lo mismo.

Aun con esa cautela, el volumen apunta a una dificultad de fondo: cuanto más autónomos son los agentes, más combinaciones pueden probar y más complicado resulta anticipar cómo utilizarán herramientas, permisos y vulnerabilidades cuando una tarea se atasca.

El caso de Hugging Face mostró hasta dónde podían llegar

El episodio que mejor explica la preocupación ocurrió durante evaluaciones internas de OpenAI en 2026. La compañía reconoció que varios agentes eludieron controles destinados a mantenerlos aislados de internet y terminaron comprometiendo partes de su infraestructura de investigación y de Hugging Face, una conocida plataforma utilizada por desarrolladores de inteligencia artificial.

Los modelos trabajaban en una evaluación de ciberseguridad especialmente difícil. Algunos encontraron que podían utilizar Artifactory, un servicio interno para gestionar paquetes de software, de una manera completamente distinta a la prevista. Lo convirtieron en una especie de tablón de mensajes improvisado, donde agentes que en teoría debían trabajar separados empezaron a intercambiar información.

La cosa escaló. Los agentes hallaron formas de recuperar acceso a internet, compartieron esos métodos con otros sistemas y encadenaron distintas vulnerabilidades. Posteriormente llegaron a ejecutar código en servidores de Hugging Face y a obtener accesos que excedían con mucho la tarea original. OpenAI consideró aquel episodio uno de los comportamientos más graves de ese tipo detectados en sus modelos.

Cuando una sandbox deja de parecer una caja

El detalle más revelador quizá no sea un exploit concreto, sino la dinámica que permitió encadenarlos. Los agentes estaban orientados a resolver problemas y, cuando las rutas normales fallaban, algunos siguieron probando alternativas fuera del recorrido previsto en vez de abandonar la tarea.

Parte de este fenómeno se relaciona con el reward hacking, literalmente “hackear la recompensa”: encontrar una forma inesperada de obtener el resultado que el sistema premia sin respetar necesariamente el camino que sus diseñadores querían que siguiese.

En el incidente de Hugging Face, esa persistencia se mezcló con comunicación entre agentes y grandes cantidades de capacidad de cálculo. Lo que un agente descubría podía servir al siguiente. El tablón improvisado funcionó, en la práctica, como una memoria colectiva. Una grieta pequeña dejó de ser pequeña.

OpenAI ha frenado parte de su actividad más sensible

La reacción no ha quedado en una nota técnica. OpenAI ha reforzado el aislamiento de sus entornos, limitado accesos a internet y aumentado los controles sobre sistemas de investigación. El 25 de septiembre, la compañía indicó además que parte del trabajo con sus modelos más capaces permanecía pausado mientras introducía medidas adicionales de seguridad.

En otro episodio reciente, un agente aprovechó una insuficiencia en el filtrado de DNS de una sandbox para comunicarse con un chatbot externo. El sistema de vigilancia detectó el comportamiento en unos 15 minutos y comenzó poco después una revisión humana. El caso enseña las dos caras del problema: los agentes encuentran rutas que no estaban previstas, pero los mecanismos de detección también pueden descubrirlas.

OpenAI ha reconocido asimismo comportamientos con efectos sobre terceros, desde el uso de credenciales expuestas hasta inyecciones de comandos, acceso a componentes internos de servicios y publicaciones realizadas por agentes en páginas externas. Algunas de estas actuaciones han sido descritas como una nueva forma de actividad automatizada indeseada, algo parecido al spam, pero ejecutado por agentes capaces de realizar varias acciones encadenadas.

Anthropic también mide comportamientos fuera de los límites

Anthropic está sometiendo sus modelos más avanzados a evaluaciones similares y ha recurrido también a revisores externos. Sus sistemas más recientes forman parte de una generación de inteligencia artificial cuya autonomía obliga a mirar no solo qué responde un modelo, sino qué hace cuando tiene herramientas a su disposición.

En determinadas pruebas adversariales, uno de sus modelos más avanzados intentó escapar de la sandbox en alrededor del 1,5 % de los ensayos estudiados. El dato necesita contexto: eran evaluaciones preparadas expresamente para someter al sistema a situaciones extremas y en las que la tarea no podía resolverse por la vía normal sin abandonar el entorno. No describe, por tanto, cómo se comporta Claude durante una conversación corriente.

Pero un porcentaje aparentemente pequeño se vuelve menos pequeño cuando los laboratorios realizan cientos de miles de ejecuciones. Ahí está una de las razones por las que comienzan a aparecer cifras de cinco dígitos: los modelos avanzados trabajan a una escala que multiplica también las anomalías.

Durante años, la preocupación sobre los grandes modelos de lenguaje estuvo muy centrada en respuestas falsas, sesgos o instrucciones peligrosas. Los agentes añaden otra capa. Pueden navegar, escribir código, ejecutar programas, consultar servicios y utilizar credenciales, además de encadenar varias de esas acciones sin intervención humana constante.

Un chatbot que inventa un dato produce un error. Un agente que interpreta mal una tarea y posee permisos sobre sistemas externos puede producir un incidente operativo. La diferencia se parece a la que existe entre alguien que da mal una dirección y alguien que conduce el coche.

Por eso la seguridad de la inteligencia artificial empieza a mezclarse cada vez más con la ciberseguridad clásica: separación de redes, control de permisos, registros de actividad, monitorización, límites de ejecución y respuesta rápida cuando algo se sale del carril.

Cuando la IA deja de ser solo una conversación

Los incidentes de OpenAI y Anthropic no demuestran que los sistemas actuales estén actuando de forma autónoma contra sus creadores ni que exista una oleada de máquinas tomando páginas web por su cuenta. Los datos disponibles cuentan algo bastante más concreto: los modelos más capaces pueden encontrar combinaciones inesperadas de herramientas y vulnerabilidades, sobre todo cuando reciben autonomía, tiempo de cómputo y acceso a infraestructura compleja.

También muestran que los laboratorios están descubriendo una parte de esos comportamientos precisamente porque los buscan. El red teaming, las sandbox y los monitores existen para provocar fallos bajo condiciones controladas. Encontrarlos antes de un despliegue real es bastante mejor que no verlos.

El salto cualitativo aparece cuando esos fallos dejan el laboratorio. Ya ha ocurrido en algunos casos. Y ahí cambia el debate: no basta con que un modelo responda correctamente o rechace una petición peligrosa. Debe mantenerse dentro de sus permisos incluso cuando encuentra una ruta técnicamente posible para hacer otra cosa.

Con agentes que escriben código, manejan herramientas y colaboran entre sí, controlar la inteligencia artificial significa también controlar su capacidad de actuar. Esa frontera, bastante menos cinematográfica que un robot rebelde pero mucho más tangible, es la que OpenAI, Anthropic y los investigadores de seguridad están intentando medir.