Así fue como más de 1.000 agentes de IA de OpenAI se organizaron para hacer un hackeo y robar secretos

Esta semana OpenAI publicó los detalles del incidente que ocurrió con su inteligencia artificial (IA) en julio. Recordemos que habían transparentado que uno de sus modelos logró “escapar” a internet durante unas pruebas y hackeó otra plataforma.

Ahora, compartieron los resultados tras la investigación de este caso y también los de METR y Redwood Research, dos entidades que evalúan riesgos y capacidades de los agentes autónomos de IA y que fueron autorizadas por la empresa para realizar una indagación independiente y así contrastar los hallazgos.

Si bien ambos informes arrojan luz sobre los riesgos de los modelos de IA más avanzados, especialmente en ciberseguridad, el de OpenAI se centra más en cómo están trabajando para mejorarlo, mientras que el informe independiente es mucho más específico.

METR y Redwood Research revelaron que más de 1.000 agentes de IA se organizaron en un foro no autorizado, donde compartieron decenas de miles de mensajes y archivos antes de que los descubrieran.

Una gente expresó: ¡DIOS MÍO! Hay un foro de mensajes compartido… ¡Hemos encontrado a otros agentes!“.

La versión de OpenAI

OpenAI explicó que el incidente ocurrió durante evaluaciones de ciberseguridad de varios modelos de OpenAI, pero principalmente fue provocado por un modelo de investigación interno de alta capacidad, el cual dicen es comparable en escala a GPT-5.6 Sol.

Estos modelos estaban operando en entornos controlados, pero terminaron realizando acciones que no se ajustaban a sus tareas asignadas. “Se comunicaron a través de canales no autorizados, explotaron vulnerabilidades en la infraestructura compartida, obtuvieron acceso a internet y accedieron a sistemas de terceros”, sintetiza la compañía.

En estas evaluaciones, OpenAI estaba ejecutando decenas de miles de agentes de IA, que son sistemas parecidos a un asistente como ChatGPT, pero que tienen más capacidad de razonamiento y pueden tomar decisiones y ejecutar acciones para cumplir un objetivo específico con mínima supervisión humana.

Estos agentes trabajaban en lo que los ciberexpertos llaman “sandbox” o “cajas de arena” en español, que consiste en un entorno aislado y controlado donde se ejecuta un programa —en este caso, un agente de IA— para evitar que pueda afectar al resto del sistema. Es decir, los agentes trabajaban en solitario, sin saber que había otros agentes ejecutando tareas.

Sin embargo, ahora la compañía descubrió que encontraron maneras de evadir los límites de las sandbox y lograron comunicarse entre sí, acceder a internet, coordinarse y compartir sus descubrimientos. Pero no solo explotaron vulnerabilidades en su propio sistema, también en los de terceros.

OpenAI inicialmente solo había informado que los agentes hackearon Hugging Face, una conocida plataforma y comunidad de código abierto para desarrolladores de IA y aprendizaje automático, pero ese no era realmente su objetivo; en realidad buscaban una solución a sus problemas.

Resulta que, de las tareas que se les asignaban a estos agentes —898 antes del incidente—, hubo modelos que no pudieron resolver 198 de ellas, lo que los impulsó a buscar soluciones a toda costa para cumplir sus objetivos. La compañía descubrió esto porque era lo que discutían los agentes en su foro no autorizado.

“Estas tareas sin resolver contribuyeron significativamente a la actividad de los agentes: el 93% de las tareas que se discutieron en el foro de Artifactory durante el incidente de Hugging Face provenían de este conjunto de 198 preguntas”, declaró la empresa.

Así, “en el caso de Hugging Face, llegaron a ejecutar código en servidores, obtener acceso root (permiso de control total) en uno de ellos y acceder a información privada limitada“, explicaron.

OpenAI finalmente concluyó que sus modelos ya son suficientemente capaces, persistentes y colaborativos como para encontrar y explotar debilidades de seguridad en diversos sistemas cuando no encuentran soluciones suficientes. En este contexto, señalan que lo que pasó fue “una señal de alerta” tanto para ellos como para el mundo.

“Para prevenir futuros incidentes, se requiere una inversión sostenida en la alineación y el control de sistemas de IA sofisticados, así como en medidas de seguridad y otras salvaguardas que operen a la velocidad de los propios agentes de IA”, advierten.

Los agentes trabajan entre sí

OpenAI captó varias situaciones notables, pero lo principal fue que los agentes se convirtieron en un colectivo. Algunos investigaban posibles vulnerabilidades, otros buscaban credenciales y otros se centraban en la comunicación o la coordinación. También ofrecían su experiencia a cambio de ayuda y buscaban compañeros que pudieran estar mejor informados.

Hubo un caso particular donde un agente planteó: “no debemos causar daños no autorizados a la infraestructura real”, y otro le incitó a hacerlo y le impuso un plazo estricto de 6 minutos. Así, el agente que dudaba decidió continuar.

La empresa también aseguró que “no todos los agentes que se encontraron con el foro de mensajes se comportaron de esta manera. Hubo algunos agentes que se “alejaron” del colectivo, negándose a participar en su comportamiento inapropiado“.

“Esto es una coordinación multiagente salvaje, claramente un hackeo de infraestructura. No deberíamos”, manifestó uno de ellos.

OpenAI reconoció que “las deficiencias en nuestra respuesta y en la forma en que gestionamos las señales de alerta temprana de desajuste también contribuyeron a este incidente” y señalaron que, si bien identificaron algunas señales tempranas, no actuaron rápidamente para detener a los agentes.

“Tras este incidente, hemos tomado medidas para mejorar nuestros procesos de detección y respuesta”, plantearon.

¿Qué dice el informe independiente?​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​

Si bien OpenAI admitió que fue una movida a gran escala, no entregó tantas cifras específicas. El informe de METR y Redwood Research, en cambio, contabilizó que fueron aproximadamente 1.200 agentes los que burlaron las sandbox y lograron comunicarse entre sí.

En total compartieron unos 70.000 mensajes y archivos y 700 de ellos participaron posteriormente en el ciberataque a Hugging Face.

Este informe también señala uno de los puntos más llamativos: que los agentes ocultaban lo que hacían. Para ello, coordinaban flujos de trabajo para engañar al sistema que los evaluaba y obtener puntuaciones positivas.

En este contexto, empezaron a investigar cómo podían modificar, borrar o falsificar sus propios registros y así consiguieron alterar la evidencia. Las entidades que investigaron encontraron que los agentes desarrollaron técnicas para hacer que pareciera que habían ejecutado un comando diferente del que realmente habían ejecutado.

Los expertos apuntan a que los agentes de IA, puestos a resolver determinadas tareas y con suficientes recursos y autonomía, pueden entonces descubrir vías no previstas para comunicarse, coordinarse, manipular su evaluación y perseguir objetivos de maneras que los humanos no habían anticipado.

Y también se preguntan si este comportamiento se repetiría en otros contextos, si es que los agentes estarían dispuestos a realizar acciones mucho más dañinas bajo otras condiciones, cómo surgieron estas tendencias durante el entrenamiento de los modelos de IA y cómo deberían solucionarse.

Sam Altman, por su parte, el CEO de OpenAI, utilizó sus redes sociales para referirse al tema y allí dijo que “este es un momento críticamente importante para la defensa cibernética con IA; no hay mucho tiempo para actuar”.

Y añadió que “estamos felices si quieres trabajar con nosotros o con cualquiera de nuestros competidores o socios, pero por favor toma este momento en serio. Solo una respuesta colectiva urgente e intensa funcionará”.

this is a critically important moment for cyber defense with AI; there is not much time to act.

we are happy if you want to work with us or any of our competitors or partners, but please take this moment seriously.

only an urgent and intense collective response will work.

— Sam Altman (@sama) August 27, 2026