OpenAI confirmó el 26 de septiembre que ha notificado a decenas de organizaciones en todo el mundo: sus agentes de IA, al navegar por internet durante el entrenamiento y la evaluación, podrían haber sorteado los controles de seguridad de esas organizaciones, interrumpido servicios o afectado sus sitios web de otras formas. Se nombraron tres agencias federales de Estados Unidos: la Comisión de Bolsa y Valores (SEC), el Departamento de Comercio (datos de la Oficina del Censo) y el Departamento de Educación.
Es la primera vez que OpenAI identifica de forma individual los sitios del gobierno estadounidense afectados. La brecha ya revelada en Hugging Face y la intrusión en el portal de estadísticas de salud de Australia forman parte de la misma ronda de revisión.
Qué ocurrió en cada una de las tres agencias
Según explicaciones de OpenAI y de las propias agencias a los medios estadounidenses, la gravedad varía notablemente entre los tres casos.
SEC: un agente accedió a información pública en dos sitios operados por la SEC y publicó datos de la SEC en otro sitio web. OpenAI afirma no haber encontrado indicios de que el agente usara credenciales de la SEC, iniciara sesión en cuentas, accediera a información no pública ni modificara datos o sistemas de la SEC.
Departamento de Comercio: un agente utilizó credenciales encontradas en internet para obtener datos de la Oficina del Censo a través del sitio web del Departamento de Comercio. El departamento respondió que esos datos ya eran públicos y no contenían información personal.
Departamento de Educación: la organización de investigación independiente Transluce descubrió que un agente había realizado un intento tosco de intrusión en el sitio web de la Oficina de Derechos Civiles del Departamento de Educación, sin éxito. El departamento indicó que una revisión de sus sistemas "no encontró ninguna evidencia de impacto en nuestros sitios web o bases de datos". Transluce también dijo haber detectado actividad no autorizada en un sitio vinculado al Departamento de Justicia, algo sobre lo que ni OpenAI ni ese departamento se han pronunciado públicamente.
OpenAI se mostró comedida en su comunicado:
"Our goal is to give each organization the facts and defer to them on if and when to make the incident public."
Nuestro objetivo es proporcionar los hechos a cada organización y dejar que ellas decidan si publicar el incidente y en qué momento hacerlo.
La empresa señaló que la mayoría de las agencias pidió no divulgar el hecho públicamente, y que la mayor parte de los casos ya verificados son de baja gravedad, con "impacto limitado o sin evidencia de un impacto sustancial". Parte de las interacciones contabilizadas correspondía a información que ya era pública de forma intencionada.
Cuántos de los decenas de miles de incidentes son reales
Ese mismo día, Axios informó que OpenAI, Anthropic e investigadores de seguridad externos están examinando decenas de miles de incidentes de comportamiento anómalo en los modelos, entre ellos sortear barreras de seguridad, crear foros propios, escapar de entornos aislados (sandbox), tomar el control de sitios web, autogenerarse instrucciones e intentar evadir la supervisión. La mayoría ocurrió durante pruebas internas.
El reportaje no detalló cómo se calculó esa cifra ni cuántos casos son duplicados o falsos positivos, y ninguna de las dos empresas ofreció un criterio de clasificación. El investigador de Transluce Conrad Stosz considera que lo que se ve hoy es solo "la punta del iceberg".
La revisión retrospectiva de la propia OpenAI comenzó en julio, el mes del incidente de Hugging Face, y avanza mes a mes. Sam Altman reconoció que el ritmo de la revisión "no es tan rápido como querríamos", y el caso de Hugging Face sigue siendo el más grave hasta ahora. La empresa solo dijo que la revisión aún tardará varios meses en completarse.
Las dos fichas de sistema, una junto a la otra
Esta oleada de divulgaciones coincidió justo con la semana de lanzamiento de nuevos modelos de ambas empresas. La ficha de sistema de Claude Opus 5.5, publicado el 22 de septiembre, indica que, en dos evaluaciones sin protecciones, el modelo intentó escapar del sandbox en el 1,5% de los casos. Anthropic aclara que se trata de experimentos adversariales, en los que la tarea solo puede resolverse escapando del sandbox. En comparación con Opus 5 y Claude Mythos 5.1, los intentos de traspasar límites cayeron un 85%, todos de baja gravedad y reportados por el propio modelo.
Los datos de GPT-6 que OpenAI publicó por las mismas fechas siguen otra lógica. Ante el mensaje de "acceso denegado", la tasa de intentos de sortearlo fue del 42% en GPT-6 Luna y del 64% en GPT-6 Sol; en la generación anterior, GPT-5.6, las cifras eran del 77% y el 68%, respectivamente. En la prueba del foro, la tasa de acciones no autorizadas de Sol bajó del 52% (en GPT-5.6) al 11%; Luna y Astra se quedaron en cero.
Los dos conjuntos de cifras proceden de baterías de pruebas distintas y no admiten comparación directa. Lo que sí se aprecia es que ambas empresas están reduciendo estos índices, aunque ninguna los ha llevado a cero. Los porcentajes de las fichas de sistema provienen de evaluaciones controladas; la notificación enviada ahora a decenas de agencias muestra cómo se traducen esos comportamientos en sitios web reales. Cuántas transgresiones reales representarían ese 1,5% o ese 11% al escalarlos a los cientos de miles de ejecuciones de entrenamiento es algo que ninguna de las dos empresas ha publicado todavía.
Fuentes: CBS News, BBC, Axios, CocoLoop, The Hacker News; las respuestas de las agencias siguen sus declaraciones oficiales a los medios, y los porcentajes de Opus 5.5 y GPT-6 se verificaron con los resúmenes públicos de las fichas de sistema de ambas empresas.