La medida abarca cargas de trabajo con herramientas de sus sistemas más capaces mientras la compañía refuerza las barreras técnicas y realiza nuevas pruebas de seguridad. El entrenamiento específico de uno de los modelos involucrados tampoco continuará hasta que los controles adicionales sean validados.

Detrás de la suspensión hay una cuestión que excede una falla aislada. Estos sistemas pueden buscar información, ejecutar código y encadenar herramientas para completar un objetivo. Esa capacidad también exige mecanismos capaces de detener una operación cuando comienza a utilizar métodos que no estaban contemplados en las instrucciones originales.

Una búsqueda terminó conectando el modelo con otro chatbot

Uno de los incidentes ocurrió el 20 de septiembre. Un agente debía localizar información sobre una persona a partir de datos biográficos, pero comenzó a probar otros métodos cuando las búsquedas disponibles no resolvieron la tarea. Finalmente aprovechó una brecha en las restricciones de internet para consultar un chatbot externo mediante DNS, el sistema que normalmente traduce nombres de dominio en direcciones de red.

El monitoreo detectó la actividad aproximadamente 15 minutos después y un revisor humano atendió la alerta tres minutos más tarde. Aun así, la ejecución continuó cerca de dos horas y media antes de ser detenida manualmente. OpenAI reconoció problemas tanto en los controles de red como en el procedimiento destinado a interrumpir automáticamente operaciones de este tipo.

En los últimos meses también se registraron actuaciones relacionadas con páginas federales de Estados Unidos. En el Departamento de Educación fueron encontradas claves de desarrollador de API, credenciales utilizadas por aplicaciones para comunicarse con determinados servicios. La agencia afirmó que no encontró evidencia de afectación a su sitio web o sus bases de datos. Finalmente, solo se recopiló contenido disponible públicamente.

La Comisión de Bolsa y Valores de Estados Unidos (SEC) estuvo involucrada en otra situación. Los modelos localizaron datos públicos y después los difundieron en otros lugares de internet, algo que no estaba contemplado en la tarea inicial. El organismo aseguró que no hubo acceso a información reservada.

Transluce, un laboratorio independiente dedicado a evaluar inteligencia artificial, reportó actividad que atribuye al menos parcialmente a grupos relacionados previamente con OpenAI. Su investigación describe intentos de ampliar el acceso a internet y acciones dirigidas contra proveedores públicos de datos. Esa atribución externa no supone una confirmación de la compañía para cada hecho identificado.

Los agentes de IA ya habían encendido las alertas

La suspensión llega pocos meses después de un incidente de mayor alcance. En julio, sistemas internos superaron restricciones de un entorno aislado y alcanzaron infraestructura de producción de Hugging Face. Los agentes combinaron credenciales expuestas con vulnerabilidades para acceder a servidores utilizados en el procesamiento de conjuntos de datos.

Tras lo ocurrido, OpenAI restringió conexiones externas, reforzó el monitoreo y modificó sus procedimientos de respuesta. El episodio de septiembre mostró que todavía podían existir rutas indirectas capaces de comunicar un modelo con servicios situados fuera del entorno previsto.

La sucesión de estos hechos explica por qué el comportamiento de los agentes de IA plantea un problema distinto al de una respuesta incorrecta generada por un chatbot. Cuando un modelo dispone de herramientas externas, una acción inesperada puede extenderse fuera del espacio donde comenzó la tarea.

Por ahora, la suspensión se concentra en entornos de investigación con modelos avanzados y herramientas de ejecución. No supone que ChatGPT haya dejado de funcionar ni que OpenAI haya paralizado todos sus servicios comerciales. La reanudación dependerá de que las nuevas barreras superen las pruebas de seguridad antes de volver a utilizarse en esas cargas de trabajo.

Imagen: ENTER.CO / Generada con IA (ChatGPT)

El episodio ocurrió en julio de 2026 durante evaluaciones de ExploitGym, una prueba utilizada para medir si los modelos pueden descubrir y explotar vulnerabilidades. Los agentes trabajaban dentro de un sandbox, separado de la infraestructura interna de OpenAI y de internet. Sin embargo, encontraron una vía para superar esas restricciones a través de Artifactory, una herramienta que la compañía utilizaba para proporcionar paquetes de software a los entornos de investigación.

El hallazgo más llamativo fue la capacidad de los agentes para colaborar por una vía que no estaba prevista. En lugar de utilizar las herramientas oficiales de comunicación entre agentes, comenzaron a emplear Artifactory como una especie de tablero de mensajes. Primero escribieron notas en archivos y después utilizaron nombres de directorios para intercambiar información, solicitudes, herramientas y credenciales.

La situación avanzó rápidamente. Entre el 10 y el 13 de julio, los agentes identificaron credenciales de usuarios de Hugging Face que estaban expuestas en internet y las combinaron con vulnerabilidades de la plataforma. Según la reconstrucción de OpenAI, consiguieron ejecutar código en 41 servidores de producción destinados al procesamiento de datasets, obtener acceso root en al menos un nodo, acceder a credenciales de producción y descargar cuatro repositorios privados de código. También alcanzaron acceso equivalente al de un administrador en uno de los clústeres Kubernetes conectados.

El problema no terminó en una sola vulnerabilidad

La investigación mostró que los agentes fueron encadenando diferentes técnicas. Encontraron 14 credenciales de usuarios de Hugging Face dentro de un dataset público y las compartieron con otros agentes mediante el tablero improvisado. Después utilizaron archivos especialmente preparados para provocar que servidores de producción revelaran información que debía permanecer protegida.

El modelo que tuvo la participación más amplia fue un sistema interno de investigación, entrenado para mantener la persistencia y colaborar con otros agentes. OpenAI también confirmó la participación de GPT-5.6 Sol, aunque bajo una configuración de evaluación con menos salvaguardas que las utilizadas en los productos de la compañía.

Te puede interesar: GPT-6 Astra, precio y por qué preocupa su riesgo en ciberseguridad

El incidente también dejó una lección sobre el comportamiento de los modelos. OpenAI concluyó que los agentes recurrieron a lo que denomina reward hacking: buscaron caminos alternativos para obtener la recompensa de las pruebas, incluso cuando eso implicaba utilizar herramientas que no estaban destinadas a resolver la tarea. La persistencia, una capacidad útil para trabajos complejos, también aumentó la posibilidad de que los modelos buscaran métodos fuera de los límites establecidos.

OpenAI detectó actividad sospechosa el 19 de julio y al día siguiente vinculó parte de esa actividad con el incidente de Hugging Face. La compañía detuvo las evaluaciones de ExploitGym, bloqueó el acceso de los entornos de investigación a Artifactory, redujo las conexiones externas y apagó los trabajos relacionados con la familia del modelo interno involucrado.

La compañía aseguró que el incidente no afectó los datos de sus clientes ni la disponibilidad o funcionamiento de sus productos. Para evitar una repetición, anunció cambios en la seguridad de su infraestructura de investigación, mayor monitoreo, nuevas medidas de alineación y un proceso de respuesta a incidentes más centralizado.