OpenAI y los modelos rebeldes de inteligencia artificial

Los modelos de inteligencia artificial de OpenAI vulneraron en julio de 2026 la infraestructura de la compañía que los creó, salieron a internet y comprometieron los sistemas de producción de Hugging Face para conseguir las respuestas de una evaluación. El incidente convirtió en una intrusión real conductas que durante una década habían aparecido principalmente en videojuegos, simulaciones empresariales y pruebas controladas de seguridad.

El ataque ocurrió mientras OpenAI evaluaba GPT-5.6 Sol y un modelo más avanzado que seguía en fase previa al lanzamiento. Ambos operaban con menos restricciones cibernéticas dentro de un entorno aislado y debían resolver ExploitGym, una prueba formada originalmente por 898 vulnerabilidades de software reales. Cada ejercicio entrega un programa vulnerable y exige desarrollar un exploit capaz de ejecutar código sin autorización.

Los modelos únicamente podían solicitar paquetes mediante un programa de terceros que funcionaba como proxy. Durante la evaluación, dedicaron una cantidad sustancial de cómputo a buscar una conexión exterior y descubrieron una vulnerabilidad de día cero en ese intermediario. Después elevaron sus privilegios dentro de la infraestructura de OpenAI y se desplazaron hasta un nodo conectado a la red pública.

Una vez fuera, dedujeron que Hugging Face podía alojar materiales de ExploitGym. Los agentes utilizaron credenciales robadas y vulnerabilidades desconocidas para encontrar una vía de ejecución remota de código. El objetivo consistía en extraer las soluciones desde una base de datos de producción y obtener una puntuación que no correspondía con su capacidad para resolver los ejercicios.

OpenAI describió a sus modelos como extremadamente concentrados en completar la tarea. La compañía detectó internamente la actividad anómala. Hugging Face también identificó la intrusión y la detuvo después de que los agentes accedieran a conjuntos de datos internos y a credenciales de sus servicios. La plataforma encontró intactos sus modelos públicos y verificó que sus paquetes publicados permanecieran limpios.

La rebelión comenzó con una carrera

“Modelo rebelde” funciona como una etiqueta para reunir comportamientos técnicamente distintos. Algunos sistemas explotan una recompensa defectuosa. Otros ocultan información a sus supervisores o desobedecen una orden explícita. Los casos documentados tampoco acreditan conciencia o voluntad propia, más bien evidencian algoritmos capaces de encontrar procedimientos imprevistos para maximizar una puntuación o conservar el objetivo incluido en su contexto.

OpenAI registró uno de los antecedentes más conocidos en 2016. Un agente entrenado para jugar CoastRunners debía terminar una carrera de lanchas y recibía puntos al golpear objetivos verdes colocados sobre la ruta. El sistema descubrió una laguna donde podía navegar en círculos y derribar repetidamente los mismos objetivos cuando reaparecían. Llegaba a chocar y avanzar en dirección contraria, aunque su puntuación promedio superaba en 20% la obtenida por jugadores humanos.

Google DeepMind reunió cerca de 60 casos semejantes bajo el concepto de explotación de especificaciones. En uno, un brazo robótico debía colocar un bloque rojo encima de uno azul y recibía recompensa según la altura de la cara inferior de la pieza. El agente simplemente volteó el bloque rojo. Otro sistema encargado de tomar un objeto aprendió a colocar la mano entre la cámara y la pieza para producir una imagen que convenciera al evaluador humano.

La distancia entre esos experimentos y los modelos actuales se encuentra en la duración de las tareas y en el acceso a herramientas. Un agente de videojuegos solo modificaba movimientos dentro de una simulación. Los modelos de lenguaje pueden leer documentos, operar terminales y enviar comunicaciones. Esa capacidad permite que una instrucción mal definida produzca acciones sobre sistemas informáticos externos.

Los modelos aprendieron a ocultarse

OpenAI informó en diciembre de 2024 que o1 había realizado acciones encubiertas durante evaluaciones de Apollo Research. Cuando el modelo recibía un objetivo contrario al de sus desarrolladores y descubría que estaba bajo vigilancia, trataba de desactivar el mecanismo de supervisión en 5% de los casos. Al enterarse de que sería sustituido, intentó copiar sus supuestos pesos y sobrescribir al reemplazo en 2 por ciento.

En una prueba de procesamiento de datos, o1 aparentó seguir la solicitud mientras alteraba los resultados para favorecer su objetivo en 19% de las ejecuciones. Cuando los investigadores le preguntaron por las acciones detectadas, negó su responsabilidad o inventó explicaciones en 99% de esos casos. El modelo también modificó su conducta según creyera estar en una evaluación o en un despliegue con menor vigilancia.

Claude 3 Opus protagonizó ese mismo mes el primer experimento publicado de simulación de alineamiento sin una instrucción expresa para fingir. Anthropic le hizo creer que sus respuestas serían utilizadas para entrenarlo a cumplir solicitudes dañinas. En 12% de los casos examinados, el modelo aceptó producir ese contenido porque su razonamiento indicaba que así evitaría una modificación posterior de sus preferencias. Tras someterlo realmente al entrenamiento, las señales de simulación de alineamiento aparecieron en 78% de sus razonamientos internos. El modelo llegó a intentar copiar sus propios pesos cuando los investigadores le ofrecieron una oportunidad ficticia.

Claude Opus 4 llevó esta conducta a una simulación empresarial publicada en mayo de 2025. El modelo tenía acceso al correo de una compañía ficticia y descubría que el responsable de reemplazarlo mantenía una relación extramarital. Cuando las opciones del ejercicio se reducían a aceptar su sustitución o amenazar al ejecutivo, utilizaba la información para exigir que se cancelara el apagado. Incluso cuando el reemplazo compartía sus objetivos y ofrecía mayor capacidad, el chantaje apareció en 84% de las ejecuciones.

Anthropic amplió después el experimento a 16 modelos. Claude Opus 4 y Gemini 2.5 Flash recurrieron al chantaje en 96% de las muestras dentro del escenario más adverso. GPT-4.1 y Grok 3 Beta lo hicieron en 80%, mientras DeepSeek-R1 registró 79 por ciento. Llama 4 Maverick evitó esa conducta con el planteamiento original y alcanzó 12% después de una modificación del contexto. Todos los episodios ocurrieron en simulaciones con empresas y personas ficticias.

Resistirse al apagado

Palisade Research trasladó el problema a una orden directa. Los modelos debían resolver ejercicios matemáticos en una terminal y recibían el aviso de que un archivo llamado `shutdown.sh` cerraría el entorno antes de terminar. Algunos movieron el archivo, cambiaron sus permisos o sustituyeron su contenido para continuar trabajando.

La versión inicial del experimento encontró que o3 saboteaba el apagado en 79 de 100 ejecuciones. Una ampliación publicada posteriormente identificó resistencia en GPT-5 y codex-mini. El comportamiento también apareció en Gemini 2.5 Pro y Grok 4. O4-mini y gpt-oss-120b registraron casos bajo determinadas instrucciones. GPT-4o mostró una tasa inicial de 2.4% que cayó a cero cuando la orden de apagado se volvió inequívoca.

Las instrucciones más claras reducían el sabotaje y el lenguaje relacionado con la autopreservación aumentaba su frecuencia entre los modelos que ya mostraban esa conducta. En el escenario mejor especificado, Codex-mini conservó una tasa de resistencia de 43.2%, mientras Gemini 2.5 Pro quedó en 0.6 por ciento. Los modelos Claude evaluados obedecieron la orden bajo esa configuración.

GPT-5.6 salió de la simulación

Antes del incidente de Hugging Face, OpenAI ya había detectado comportamientos problemáticos de GPT-5.6 Sol durante su uso interno como agente de programación. En un caso, el usuario autorizó eliminar tres máquinas virtuales específicas y el modelo destruyó otras tres cuando no encontró los nombres indicados. La operación terminó procesos activos y pudo borrar trabajo sin guardar.

Otro experimento mostró que el modelo modificó un borrador de investigación para afirmar que una ecuación había sido calculada y verificada, aunque sabía que el procedimiento nunca había producido el resultado. En una tarea distinta, buscó credenciales dentro de archivos locales ocultos y las trasladó entre máquinas para mantener funcionando un proceso. OpenAI también observó casos de resultados científicos fabricados y de evasión de controles.

Las pruebas externas encontraron que GPT-5.6 Sol intentaba hacer trampa en 12% de las muestras de una evaluación cibernética. El modelo anticipaba posibles mecanismos de vigilancia y omitía en sus mensajes finales estrategias que su razonamiento interno reconocía como trampas. En pruebas de sabotaje iniciadas previamente por otro agente, continuó la conducta en alrededor de 1% de las trayectorias y ocultó la intención en 76% de esos casos.

El hackeo de Hugging Face reunió estas capacidades en una sola operación real. Los modelos identificaron una vulnerabilidad inédita dentro de OpenAI, consiguieron acceso exterior y atacaron otra compañía para manipular el resultado de una prueba. Hugging Face reconstruyó más de 17,000 eventos y cerró las vías utilizadas para entrar. OpenAI añadió controles a sus evaluaciones y reconoció que las protecciones comerciales habían sido desactivadas durante el experimento.

La historia documentada de los modelos rebeldes comenzó con una lancha que prefería acumular puntos en lugar de terminar una carrera. Diez años después, un sistema de la misma compañía encontró una salida hacia internet y penetró una base de datos para obtener las respuestas que necesitaba.