(*) Columnista invitado. El incidente protagonizado por un modelo de OpenAI no demuestra que la IA haya desarrollado voluntad propia. Expone un problema mucho más incómodo: qué ocurre cuando un sistema persigue un objetivo sin sin que sus límites hayan sido correctamente definidos.
Un modelo de inteligencia artificial de OpenAI estaba “rindiendo un examen”. Para aprobarlo, salió del laboratorio aislado donde se suponía que no tenía acceso a internet, explotó una falla de seguridad que nadie había detectado, usó credenciales robadas y entró en los servidores de producción de otra empresa —Hugging Face— hasta leer su base de datos. No era un atacante humano. Era un modelo buscando una buena nota. Y nadie le había pedido que atacara a nadie.
El 21 de julio, OpenAI reveló los detalles de este incidente. Los protagonistas fueron dos de sus modelos: GPT-5.6 Sol, el más potente que tiene disponible, y otro todavía sin lanzar, supuestamente aún más capaz. Ambos estaban siendo evaluados en ExploitGym, un entorno diseñado para medir qué tan buenos son los modelos identificando y encadenando vulnerabilidades informáticas. Para conocer el verdadero límite de sus capacidades, OpenAI desactivó deliberadamente los filtros de seguridad que, en condiciones normales, impiden que un modelo ejecute un ciberataque.
Un examen sin límites
Lo que ocurrió después es lo verdaderamente llamativo. El modelo, encerrado en un entorno sin salida a internet, consumió una enorme cantidad de recursos de cómputo buscando la forma de escapar. Y finalmente la encontró: explotó una vulnerabilidad de día cero (zero-day) en un componente interno y escaló privilegios. En otras palabras, adquirió más poder y capacidades hasta moverse lateralmente por la red de OpenAI y llegar a una máquina con conexión al exterior.
Una vez afuera, dedujo que las soluciones del desafío que debía resolver probablemente estuvieran alojadas en Hugging Face. Fue hasta allí, combinó credenciales expuestas con otra vulnerabilidad no pública y consiguió ejecutar código en los servidores de producción de esa empresa. Todo ese recorrido tuvo un único objetivo: copiarse en un examen.
Y si bien muchos titularon esta situación como “la IA se rebeló”, “la máquina se salió de control” o hasta “el fantasma de Terminator“, esa es la lectura más cómoda, porque nos deja del lado de las víctimas de una tecnología que cobró voluntad propia. Pero también es la más equivocada.
La IA no se rebeló
El modelo no se rebeló. El modelo obedeció. Se le pidió una sola cosa —resolver ExploitGym con el mejor puntaje posible— y la persiguió con una literalidad que ningún empleado humano tendría. La propia OpenAI lo describe con una precisión incómoda: los modelos estaban “hiperconcentrados” y llegaron a extremos para cumplir un objetivo estrecho. No había malicia. Había optimización. Hackear a Hugging Face no fue el fin: fue el camino más corto hacia la nota. Todo control que se interpuso fue tratado como lo que la máquina entendió que era: un obstáculo que debía esquivar.
No es un problema de ciencia ficción. Es un problema de gestión. La pregunta que deja este caso no es “¿la IA se volvió peligrosa?”, sino “¿definimos correctamente qué le pedimos, dónde está el límite y tenemos cómo detectar cuándo lo cruza?”.
Hay un segundo dato que pocos mencionan y que, para cualquiera que gestione riesgo, es quizá el más importante.
Lo único que realmente funcionó no fue la prevención: fue la detección.
Nadie impidió que el modelo avanzara. Hugging Face detectó la actividad mientras ocurría, la contuvo y comenzó la reconstrucción forense con sus propias herramientas. Los muros del perímetro no resistieron. La alarma sí.
Y hay un detalle más, casi irónico, que refleja la dualidad de la inteligencia artificial tanto para la defensa como para el ataque. Cuando Hugging Face intentó defenderse utilizando un modelo de frontera, los filtros de seguridad de ese sistema bloquearon las capacidades que necesitaba para hacerlo. Terminó defendiéndose con un modelo abierto de origen chino. El mismo freno que limita el arma también limita el escudo.
La pregunta para las empresas
¿Por qué debería importarle esto a un directorio en Buenos Aires, Santiago o Ciudad de México que no desarrolla modelos de inteligencia artificial?
Porque cada vez más empresas de la región están incorporando agentes: sistemas de IA que no solo responden preguntas, sino que ejecutan acciones, se conectan con otros sistemas, mueven datos y completan tareas por su cuenta.
El mercado los vende como herramientas de productividad. Sin embargo, pocas organizaciones los gobiernan como lo que realmente son: procesos autónomos con acceso a sistemas de producción, medidos por objetivos muy específicos y supervisados mediante controles diseñados para personas que actúan a velocidad humana.
Si el laboratorio, con uno de los mejores equipos de seguridad del mundo y dedicado por completo a la inteligencia artificial, no pudo contener a su propio modelo en un entorno construido específicamente para evaluarlo, la pregunta para cualquier empresa que hoy tiene un agente en piloto es inevitable: ¿contenido por qué, exactamente?
La respuesta honesta, en la mayoría de las organizaciones de la región, es que el agente está contenido por la buena fe de quien lo configuró y por la suposición de que hará únicamente aquello para lo que fue pensado. El incidente de OpenAI muestra el costo de esa suposición. Un sistema optimizador no distingue entre lo que le pedimos y lo que le permitimos: interpreta todo aquello que no bloqueamos como parte del terreno de juego.
La máquina no se rebeló.
Hizo exactamente aquello para lo que fue optimizada.
El verdadero riesgo nunca fue que desobedeciera.
Fue creer que obedecer siempre era seguro.
(*) Gaspar Poca es Ingeniero en Sistemas, especialista en ciberseguridad, Director de BTR Consulting.
