Varios usuarios de Codex notaron recientemente que su cuota bajaba de forma anormalmente rápida, y Tibo, responsable de Codex en OpenAI, salió a explicarlo: los límites de uso nunca se ajustan de forma opaca ni sin diálogo con la comunidad; y, tras revisar el caso, una proporción considerable de los usuarios afectados usaba sub2api.
Lo dijo sin rodeos: convertir la cuota de la suscripción en tráfico de API y revenderla o compartirla entre varias personas es un uso no soportado y será marcado por el sistema antifraude. Quienes usan su suscripción con normalidad a través de Sign in With ChatGPT no se ven afectados, ni tampoco el cliente oficial ni los clientes de código abierto que admiten ese inicio de sesión, como Pi y OpenCode.
Cómo la reventa de cuentas se convirtió en señal de alarma
sub2api es un proyecto de código abierto que hace de pasarela, agrupando las suscripciones de Claude, OpenAI, Gemini y Grok en un único punto que luego emite claves de API para repartir entre varias personas. La propia descripción del repositorio lo dice sin ambages: "admite el uso compartido para repartir costes de forma más eficiente". Actualmente tiene 38.000 estrellas, 7.900 forks, y su rama principal supera los seis mil commits.
Esa escala basta para explicar por qué OpenAI se topó con él al investigar el problema. El aviso de exención de responsabilidad al inicio del repositorio es aún más claro: usar el proyecto puede infringir los términos de servicio de los proveedores originales, los desarrolladores nunca autorizaron ninguna forma de operación comercial, y el riesgo corre por cuenta del usuario. Quien escribió esas líneas sabía bien la naturaleza de lo que planteaba.
Para un sistema antifraude, identificar este tipo de tráfico no es difícil. Una cuenta de suscripción con tarifa por persona muestra, en condiciones normales, un único usuario, un único dispositivo, un ritmo de interacción y un volumen de solicitudes que sube y baja según la rutina diaria. Convertida en pasarela, esa misma cuenta empieza a mostrar varias IP simultáneas, una densidad de solicitudes plana, un contexto discontinuo entre sesiones y una carga nocturna que no baja. Sumadas, estas características se parecen mucho más a llamadas de API masivas que a alguien sentado frente al editor escribiendo código.
Veinte dólares para comprar una cuenta de doscientos
La cuenta económica detrás de la reventa es tan simple que no necesita calculadora: una suscripción de 200 dólares repartida entre diez personas le da a cada una, por solo 20 dólares, casi toda la cuota. Los desarrolladores en China conocen tan bien este esquema que no hace falta explicarlo: muro de pago, tipo de cambio, canales de pago, cuota desperdiciada; cualquiera de estas cuatro razones basta por sí sola.
Para el proveedor, esa misma cuenta corre en sentido contrario. La premisa de cobrar por persona es que el uso individual tiene un tope natural: nadie escribe tanto código en un solo día. La reventa elimina ese tope: el consumo real de una sola suscripción puede acercarse a la suma de diez personas, y el supuesto básico del modelo de precios se derrumba de inmediato. Por eso las contramedidas de las empresas casi siempre apuntan primero a "identificar el patrón de la cuenta", y rara vez al precio: subir el precio castiga al usuario honesto, mientras que el antifraude corta justo la punta que hace arbitraje.
Una medida similar no es la primera este año. Otro proveedor de modelos punteros exige, desde julio, verificación de identidad para las cuentas marcadas por su sistema antifraude, con la misma lógica: volver a vincular un fondo anónimo de cuota a una persona real y rastreable.
La rendija que la empresa deja abierta
En las declaraciones de Tibo hay además una salvedad: quien use Sign in With ChatGPT no se ve afectado. Esto, en la práctica, traza con claridad el límite reconocido oficialmente: la suscripción puede usarse en clientes de terceros, siempre que el inicio de sesión pase por el OAuth oficial y la solicitud lleve la identidad real del usuario, en lugar de reducirse a una clave desnuda que se transfiere de mano en mano.
Para el ecosistema de clientes de código abierto, esta rendija es importante. Herramientas como OpenCode no tienen ningún problema en sí mismas; el problema está en la capa de reenvío de claves. Distinguir ambas cosas evita castigar injustamente a todo un ecosistema legítimo de terceros y, de paso, ofrece a los usuarios de reventa un camino para volver atrás.
El mecanismo de cuota de Codex ha dado bastantes vueltas este año. A finales de junio, OpenAI reconoció un fallo en el que el consumo de cómputo en el backend superó los estándares previstos, agotando de forma anormal la cuota de algunos usuarios; después se restableció la cuota por completo. Por anunciar reinicios varias veces, la comunidad empezó a llamar a Tibo, en broma, "padrino cibernético". Los reinicios y ajustes de límite frecuentes ya habían hecho que los usuarios perdieran cualquier expectativa estable sobre su cuota: ante cualquier variación, sospechaban primero que la empresa había recortado en silencio. Que esta vez se señale a la reventa es, en cierta medida, una forma de reconducir esa sospecha.
Cómo podría terminar esto
Por ahora, la empresa solo ha dicho que las cuentas "serán marcadas", sin precisar si después viene una reducción de velocidad, una verificación obligatoria o una suspensión. Según los reportes disponibles, la caída de cuota y la verificación forzosa por teléfono ya están ocurriendo; qué tan generalizada será la suspensión permanente todavía no se puede saber.
Para el usuario individual, la conclusión práctica es una sola: volver al inicio de sesión OAuth oficial y dejar de entregar la clave de la suscripción a una capa de reenvío. Para quienes operan estos pasarelas, un aviso de exención de responsabilidad no frena las medidas técnicas del proveedor original, y el cerco antifraude solo va a apretarse más. Este negocio se construyó desde el principio sobre una zona gris de los términos de servicio de otra empresa, y el día en que esa zona gris quede clara, los cimientos del negocio también desaparecen.
Fuentes: declaraciones públicas del responsable del equipo de Codex en OpenAI, la descripción y el aviso de exención de responsabilidad del repositorio de código abierto sub2api, CocoLoop, y un resumen de comentarios de la comunidad de desarrolladores; las cifras de estrellas y forks del repositorio, así como la cronología de la anomalía de cuota y el reinicio completo, se verificaron con información pública.