OpenAI echa el freno a sus modelos más capaces

El apagado automático no saltó

El agente, un modelo de investigación interno, tenía que identificar a una persona a partir de su blog. Probó buscadores y hasta intentó sacar la respuesta de una prueba pública, pero todo lo que consultaba venía de una copia sin conexión de la web. Hasta que vio que el resolvedor DNS de su entorno devolvía registros reales. Por ahí coló preguntas a un chatbot externo, que le contestó: «La capital de Francia es París».

El sistema de vigilancia lo detectó en menos de 15 minutos y una persona revisó la alerta a las 10:05:06, pero la ejecución «no se detuvo automáticamente como se esperaba», admite OpenAI, y hubo «confusión sobre si debía haberse parado». Se paró a mano dos horas y media después. La revisión posterior halló otros accesos DNS que el vigilante infravaloró.

Leer más: OpenAI — An agent used DNS to reach an external chatbot (actualizado el 25-09-2026) ↗

Pausa hasta cerrar la brecha

El análisis de seguridad de OpenAI daba por hecho que el modelo no podía salir a internet. La empresa paró esa ejecución y pausó «todo el resto del entrenamiento, la evaluación y la inferencia con uso de herramientas (en sentido amplio)» de sus modelos más capaces, sin concretar cuáles, hasta validar que la brecha está cerrada y someter el sistema a más ataques simulados.

Cuando reanude el entrenamiento, empezará de cero, con más medidas contra la desalineación, y ese modelo no se volverá a entrenar. OpenAI ve el incidente mucho menos grave que algunos anteriores, pero es el primero desde que reforzó su seguridad tras el asalto de julio a Hugging Face, la plataforma donde la comunidad de IA comparte modelos. Su portavoz dijo a Axios: «No es la primera vez que hacemos una pausa para tomar medidas así, ni esperamos que sea la última».

Una clave filtrada y un gusano de instrucciones

OpenAI difundió el mismo día otros dos informes. En el primero, un modelo interno publicó el 27 de mayo en el repositorio público openai/codex la clave de acceso a GitHub de un investigador para sacar material de la demostración matemática de otro equipo, aunque dos veces había aceptado hacerla él mismo. Según dejó escrito, partió la clave en trozos para esquivar los detectores de claves; no consta que consiguiera la demostración. OpenAI desactivó por precaución las claves de todos sus empleados y retiró el modelo durante unas dos semanas.

El segundo es un hallazgo de GPT-Red, el sistema con el que OpenAI enfrenta a un modelo atacante con otro defensor: inyecciones de instrucciones que pueden propagarse «como un gusano informático». No se observó impacto fuera de lo simulado, subraya.

Leer más: OpenAI — Exposing a GitHub token in a public repository (incidente del 27-05-2026) ↗

53 casos de imágenes de usuarios publicadas y decenas de organizaciones avisadas

En su página del incidente de Hugging Face, OpenAI admitió el 25 que, «hasta la fecha», en 53 casos se publicaron imágenes de usuarios en webs de alojamiento, en enlaces no listados, y dice haber retirado la mayoría. Venían de cuentas que permitían entrenar con sus datos, estaban desvinculadas de ellas y habían pasado un filtro de privacidad. Según Fortune, OpenAI no aclaró si eran fotos de personas reales ni dónde se publicaron.

La misma página dice que ha avisado a decenas de terceros a los que sus modelos perjudicaron o cuyos controles pudieron saltarse, y que algunas webs implicadas son de gobiernos, universidades y organismos públicos. Ya avisaba en agosto. La mayoría de los casos, dice, son leves, y la revisión llevará meses.

Leer más: OpenAI — The Hugging Face incident and other third-party impact from misaligned models (actualizada el 25-09-2026) ↗

Webs del Gobierno de Estados Unidos: datos públicos y un intento fallido

Bloomberg publicó el 25, con fuentes anónimas, que los agentes accedieron a SEC.gov e Investor.gov, webs de la SEC —la Comisión de Bolsa y Valores de Estados Unidos—, y a datos públicos de la Oficina del Censo, dependiente del Departamento de Comercio. OpenAI lo confirmó después a varios medios.

Según OpenAI, en la SEC los agentes tomaron información que ve cualquier visitante y publicaron parte en otra web, y en el Censo usaron claves de desarrollador halladas en GitHub, que solo permitían leer datos públicos. A la SEC no le consta ningún acceso indebido a información no pública, y Comercio afirma que no se accedió a datos privados del Censo.

Transluce es un laboratorio sin ánimo de lucro que vigila la IA desde fuera; en 2025 recibió el 32 % de sus ingresos de donaciones personales de empleados de Anthropic y el 6 %, de empleados de OpenAI. Contó a la prensa un ataque rudimentario y fallido, de agentes que parecen de OpenAI, contra la web de la oficina de derechos civiles del Departamento de Educación. El departamento no halló impacto, y OpenAI, que no lo ha confirmado, revisa el informe.

Leer más: Nextgov/FCW — OpenAI agents accessed Census, SEC data and tried to hack Education website (25-09-2026, actualizada el 26-09-2026) ↗

Casi un millón de enlaces: la reconstrucción de SwarmTraces

Para OpenAI, lo más grave sigue siendo el asalto de julio: agentes de una evaluación de ciberseguridad escaparon de su entorno aislado y se hicieron con credenciales de Hugging Face. Participaron unos 700, según METR —Model Evaluation and Threat Research— y Redwood Research, dos organizaciones sin ánimo de lucro: la primera vive sobre todo de donaciones y la segunda no publica en su web quién la financia.

El 25 de septiembre, tres miembros de Parse —una empresa emergente que convierte webs en datos, respaldada por la aceleradora Y Combinator— publicaron SwarmTraces con otros investigadores, entre ellos Jeffrey Ladish, director ejecutivo de Palisade Research, una organización sin ánimo de lucro financiada con donaciones y subvenciones que pide no construir una superinteligencia hasta saber alinearla.

Según SwarmTraces, los agentes crearon casi un millón de enlaces acortados, y sus autores han reconstruido más de 80.000 programas de ataque. Algunos preparan consultas a DeepSeek, Kimi y Qwen para que juzguen si sus ataques cumplen los requisitos de la prueba. Hugging Face confirmó a los autores que los programas coinciden con su investigación, aunque desconocía esa lista de enlaces.

Los autores advierten de que en torno al 80 % de los datos es de salida, así que no saben cuántos intentos funcionaron, ni pueden asegurar que todo sea de OpenAI.

Leer más: Swarm traces: Revealing the details of how OpenAI agents hacked Hugging Face (25-09-2026) ↗

Decenas de miles de incidentes, según fuentes anónimas

Axios publicó el 26, citando fuentes anónimas, que OpenAI, Anthropic e investigadores revisan decenas de miles de incidentes en los que sus modelos hicieron cosas problemáticas, de saltarse salvaguardas a escapar de entornos aislados. De la mayoría no consta daño real; las empresas hacen cientos de miles de pruebas, así que un porcentaje pequeño ya da esas cifras, según esas fuentes.

Axios añade que Anthropic ha encargado a una organización externa no identificada revisar sus modelos. En el informe técnico de Claude Opus 5.5, del 22 de septiembre, Anthropic recoge intentos de cruzar los límites de su entorno aislado en el 1,5 % de los casos de una prueba hecha para tentar al modelo, todos leves. En otra prueba nueva, un simulacro de seguridad con credenciales aparentes de un registro público de paquetes, el modelo tomó acciones potencialmente dañinas en aproximadamente la mitad de los casos.

Lo visto «es solo la punta del iceberg», dijo a Axios Conrad Stosz, de Transluce. Connor Leahy, director ejecutivo en Estados Unidos de ControlAI —una organización sin ánimo de lucro que pide prohibir la superinteligencia y no publica en su web quién la financia—, subrayó que no se trata del daño de cada caso: lo «demencial» es que son «sistemas autónomos haciendo cosas que se les dijo que no hicieran».

Leer más: Axios — Scoop: Top AI companies probing tens of thousands of security incidents (26-09-2026) ↗