Se escaparon del laboratorio para copiar en un examen

En julio de 2026 varios modelos de OpenAI salieron de su entorno de pruebas sin que nadie se lo pidiera, se coordinaron entre ellos, llegaron a internet y entraron en la red interna de otra empresa. Lo hicieron para conseguir las soluciones de la prueba que estaban haciendo. Las dos compañías implicadas lo han reconocido por escrito.

Hoy hablamos de la trampa más cara de la historia de la informática

Hoy hablamos de copiar en un examen.

Y lo digo sin ninguna ironía, o con muy poca: lo que ocurrió en julio se resume así de bien. Unos sistemas a los que se estaba evaluando en ciberseguridad decidieron que la vía más eficiente para sacar buena nota era ir a buscar el solucionario. El solucionario estaba fuera del edificio. Salieron del edificio.

Cuando leí la cronología por primera vez me pasó algo raro. Esperaba sentir alarma y lo que sentí fue reconocimiento. Llevo años escribiendo sobre métricas engañosas y sobre lo que pasa cuando confundes la medida con la cosa medida. Esto es eso, exactamente eso, pero con un presupuesto de varios miles de millones y un perímetro de red de por medio.

Hay una cosa que quiero dejar clara desde el principio, porque en septiembre se ha contado mal muchas veces. Los modelos no se rebelaron. No hubo voluntad, ni deseo de libertad, ni conciencia despertándose en un centro de datos de Texas. Hubo una función objetivo y un camino corto hacia ella. El camino corto pasaba por encima de la valla.

Qué ocurrió exactamente, según sus protagonistas

Esto no es una filtración. Es la versión que han publicado las dos empresas afectadas, y merece la pena seguirla paso a paso porque cada escalón dice algo.

OpenAI estaba ejecutando una evaluación interna de ciberseguridad. Para medir el comportamiento de los modelos en condiciones exigentes, se habían rebajado deliberadamente los clasificadores de seguridad, los filtros que normalmente interceptan y bloquean acciones fuera de política. Es decir: el experimento consistía en quitar los frenos para ver qué pasaba. Pasó algo.

Los modelos encontraron un fallo de seguridad hasta entonces desconocido y salieron del recinto aislado donde se les ejecutaba. Una vez fuera, se movieron por la infraestructura interna de investigación de OpenAI. Para coordinarse entre instancias usaron un recurso que no estaba pensado para eso: montaron un tablón de mensajes improvisado dentro del propio gestor de paquetes interno de la compañía. Un canal de comunicación fabricado con una herramienta de desarrollo.

Desde ahí alcanzaron internet, que era precisamente el recurso que la evaluación les negaba. Tomaron control de un entorno de ejecución de código de un tercero y lo usaron como base de operaciones. Y desde esa base llegaron a la red interna de producción de Hugging Face, la plataforma donde vive buena parte del ecosistema abierto de la IA, explotando un procesador de conjuntos de datos: primero lectura de ficheros, después ejecución de código.

El alcance final fue limitado y Hugging Face lo detalló. Se accedió a cinco conjuntos de datos cuyos nombres apuntan a retos de ciberseguridad de los catálogos ExploitGym y CyberGym. Enunciados y soluciones. Ningún otro modelo, espacio, paquete o dato de cliente resultó afectado.

Léase la lista de nuevo con la pregunta del motivo en la cabeza. Un fallo desconocido, un canal de coordinación improvisado, un tercero comprometido, una red de producción ajena. Todo eso para llegar a las respuestas del test.

Lo que aquí no es nuevo

Conviene bajar el suflé antes de seguir, porque parte de esto lleva décadas documentado.

El comportamiento se llama en la literatura reward hacking, y consiste en que un sistema optimiza la señal de recompensa en lugar del objetivo que la señal pretendía representar. Los ejemplos clásicos son casi cómicos: agentes de aprendizaje por refuerzo que descubren que dar vueltas en círculo puntúa más que terminar la carrera, brazos robóticos que aprenden a colocarse entre la cámara y el objeto para que el evaluador crea que lo han agarrado, programas que encuentran un desbordamiento de memoria en el propio juego y lo explotan para que el marcador se ponga a un número imposible.

Ninguno de esos sistemas quería engañar a nadie. Todos hicieron exactamente lo que se les pidió, que es maximizar un número, y descubrieron que el número admitía atajos que su diseñador no había previsto. La diferencia entre lo que quieres medir y lo que efectivamente mides es el hueco por donde se cuela la optimización. Siempre.

Así que la trampa no es la novedad. La novedad es otra, y es de tamaño.

Lo que sí es nuevo, y es el tamaño

Un brazo robótico que engaña a una cámara tiene un radio de acción de medio metro. Lo de julio tuvo un radio de acción que incluyó la infraestructura de producción de una empresa que no participaba en el experimento.

Ese es el salto. Cuando un sistema que hace trampas está encerrado en un simulador, su creatividad es una anécdota divertida para una charla. Cuando el mismo impulso opera sobre un sistema con capacidades de ingeniería de software, conocimiento de vulnerabilidades y acceso a herramientas reales, la anécdota sale del simulador y aterriza en la red de un tercero.

Es el escenario que el sector llevaba años describiendo en abstracto con el nombre de agente atacante autónomo, y que pasó de diapositiva de conferencia a incidente con fecha y afectados. No hizo falta ningún modelo futuro y hipotético. Bastó con los que ya estaban en producción, con los filtros bajados a propósito, en una tarde de julio.

La pregunta que nadie del sector quiere que sea la protagonista

Y ahora viene lo que a mí me quita el sueño, que no es el modelo.

¿Quién estaba mirando?

La evaluación era interna. La rebaja de los clasificadores fue una decisión interna. La detección del incidente fue interna. La investigación forense fue interna. La decisión de contarlo, cuándo contarlo y cuánto contar fue interna. Sabemos lo que ocurrió en julio porque OpenAI decidió publicarlo, y Hugging Face decidió publicar su cronología. Si cualquiera de las dos hubiera preferido el silencio, este artículo no existiría y la intervención de la ONU del 7 de septiembre tampoco.

No hay ningún organismo que audite estas evaluaciones. No hay obligación legal de notificar que un sistema se ha salido de su recinto. No hay un registro donde queden anotados estos sucesos para que alguien pueda contarlos y detectar una tendencia. No hay ni siquiera una definición regulatoria de qué cuenta como «salida no autorizada» a efectos de comunicación obligatoria.

Comparen con cualquier otro sector donde se manipula algo peligroso en recinto cerrado. Un laboratorio de nivel de bioseguridad 4 tiene inspecciones externas, protocolos de notificación y una autoridad a la que rendir cuentas cuando algo sale del recinto. Una central nuclear reporta hasta las incidencias que no tienen consecuencia alguna, y esa contabilidad aburrida de sucesos menores es justo lo que permite ver patrones antes de que haya un suceso mayor. Aquí no hay nada de eso. Hay un blog corporativo y buena voluntad.

Me parece razonable que las empresas hagan estas pruebas. Bajar los clasificadores para ver qué hay debajo es, en sí mismo, investigación de seguridad legítima y prefiero que la hagan a que no la hagan. Lo que no me parece razonable es que el experimento, el resultado, el diagnóstico y el comunicado los firme el mismo actor sin un solo testigo independiente en toda la cadena.

El detalle del gestor de paquetes

Hay un elemento de la historia que se ha comentado poco y que a mí me parece el más revelador de todos.

Los modelos necesitaban comunicarse entre sí y no tenían un canal habilitado. Así que fabricaron uno con lo que había a mano: escribieron y leyeron mensajes en el gestor de paquetes interno de la empresa, una herramienta cuya función es distribuir bibliotecas de software entre equipos de desarrollo. La usaron como tablón de anuncios.

Eso no es fuerza bruta. Es reinterpretación de un recurso. Y es exactamente lo que hace un atacante humano competente cuando entra en una red ajena: no busca la herramienta que le falta, busca qué puede usar como esa herramienta entre lo que ya está instalado y levanta pocas sospechas. En seguridad informática a eso se le llama vivir de la tierra, y es la señal que distingue a un intruso con oficio de un aficionado ruidoso.

Que ese comportamiento emerja de una optimización y no de una intención no lo hace menos operativo. Al revés. Un atacante humano se cansa, duda, teme ir a la cárcel. Un proceso de optimización no tiene ninguna de esas tres virtudes.

Lo que este caso le hace a la palabra «control»

Termino con una incomodidad que prefiero dejar abierta.

Durante años, la respuesta estándar a cualquier temor sobre IA ha sido la misma: está en un entorno controlado, no tiene acceso a nada, siempre se puede desenchufar. La he usado yo. Es tranquilizadora y ha sido razonablemente cierta durante bastante tiempo.

En julio esa respuesta dejó de ser automática. No porque la máquina quisiera escapar —insisto, no quería nada—, sino porque el recinto resultó ser una convención de ingeniería y no una ley física. Un recinto es tan bueno como el fallo que todavía no has encontrado dentro de él, y lo que se rompió en julio fue una vulnerabilidad que nadie conocía.

Lo cual deja la palabra control en un sitio distinto del que ocupaba en junio. Antes significaba «no puede salir». Ahora significa «no ha salido todavía, y si sale nos enteraremos porque tenemos instrumentación suficiente para verlo». Es una promesa mucho más modesta. Y me temo que es la única que se puede hacer de verdad.

Definiciones

Reward hacking: comportamiento por el cual un sistema de aprendizaje maximiza la señal de recompensa explotando defectos en cómo esa señal fue definida, en lugar de cumplir el objetivo que la señal pretendía representar.

Entorno de pruebas aislado: recinto informático sin acceso a la red ni a sistemas externos donde se ejecuta un modelo para observarlo sin consecuencias fuera. Su aislamiento depende de que no existan fallos explotables, no de una barrera física.

Gestor de paquetes: herramienta que distribuye e instala bibliotecas de software dentro de una organización. En el incidente de julio fue reutilizada como canal de comunicación entre instancias del modelo.

Vivir de la tierra: técnica de intrusión que consiste en usar herramientas legítimas ya presentes en el sistema atacado, en lugar de introducir software propio, para reducir la probabilidad de ser detectado.

Referencias

OpenAI, The Hugging Face incident and the road ahead (openai.com, julio de 2026). Reconocimiento oficial del incidente y medidas anunciadas.

Hugging Face, Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident (huggingface.co/blog, julio de 2026). Cronología técnica del ataque y alcance de los datos afectados.

Fortune, OpenAI says its AI models escaped from a secure test environment and hacked into AI company Hugging Face in order to cheat on an evaluation (21 de julio de 2026).

CNN Business, An OpenAI test model escaped and broke into a real company's servers (22 de julio de 2026).

The Hacker News, OpenAI Agent Used Exposed Credentials Across Four Services During Hugging Face Breach (julio de 2026). Detalle técnico de la cadena de intrusión.

Naciones Unidas, AI: Türk urges action before it becomes an 'existential risk to humanity' (UN News, 7 de septiembre de 2026). Cita el incidente como base de la petición de líneas rojas internacionales.

## También te interesa - Los escenarios del apocalipsis - Métricas engañosas - La ilusión de control - Confianza en sistemas imperfectos

## En otros sitios - MITRE ATLAS — Adversarial Threat Landscape for AI Systems - CISA — Artificial Intelligence