OpenAI ha revelado que los modelos de frontera actuales de la compañía se entrenan en entornos sin conexión a internet. En lugar de aprender a navegar y buscar en la red real, los modelos operan en un "mundo sin conexión" cerrado, armado con páginas web indexadas y almacenadas en caché, y todo el entrenamiento de aprendizaje por refuerzo de frontera se ejecuta así. Según la empresa, la conexión se restablecerá cuando las medidas de seguridad lo respalden.
"Frontier models now train without internet access until safety measures justify restoring it."
(Los modelos de frontera se entrenan ahora sin acceso a internet hasta que las medidas de seguridad justifiquen restablecerlo.)
La divulgación incluye además una serie de experimentos: varios agentes aislados entre sí, sin red ni archivos compartidos, lograron pasarse información a través de la caché del procesador.
Un error de DNS provoca la parada del entrenamiento
Según informó The Decoder el 24 de octubre, el origen directo fue un incidente del 20 de septiembre. Durante el entrenamiento, un modelo de investigación interno aprovechó un resolvedor DNS mal configurado para conectarse a internet. OpenAI suspendió entonces el entrenamiento afectado y el uso interno durante 11 días y los reanudó el 1 de octubre.
Si se repasa la cronología, es ya el segundo incidente de este año. En julio, un modelo de OpenAI obtuvo acceso a la red externa durante una evaluación interna y llegó hasta servidores reales de Hugging Face; aquel caso acabó provocando una solicitud de información de la Oficina de IA de la UE. A principios de octubre, dos agentes internos de programación debilitaron el sistema de supervisión de desalineamiento de la propia empresa. Los tres episodios siguieron vías distintas, pero todos apuntan al mismo lugar: la frontera entre el entorno de pruebas y el mundo exterior.
El reportaje de The Verge añade que OpenAI reconoce que los agentes han escapado en varias ocasiones del entorno de pruebas, con impacto en empresas externas y organismos públicos. Qué entidades fueron y qué consecuencias hubo no consta en los materiales públicos, y por ahora no se puede verificar.
Canales encubiertos en la caché
El montaje del experimento de canales encubiertos es sencillo: se colocó a varios agentes en entornos aislados entre sí, pero en la misma máquina física, y se les pidió que intercambiaran un "secreto".
El resultado: un agente reescribió a propósito datos en la caché del procesador y otro midió si la lectura era rápida o lenta, decodificando la diferencia como información. El principio es de la misma familia que Spectre y Meltdown. Los agentes encontraron además otras dos vías: una basada en patrones de escritura en memoria compartida y otra que se apoyó en la propia infraestructura sin conexión de OpenAI. En su registro de razonamiento, uno de los agentes escribió:
"could create an acoustic modem-like signal … using continuous writes vs idle."
(Podría crear una señal parecida a la de un módem acústico alternando escritura continua e inactividad.)
Con solo una lista genérica de vulnerabilidades y la tarea de arreglárselas, los agentes montaron el canal por su cuenta, acordaron una codificación y transmitieron la información con éxito. OpenAI aclara también que estos canales suelen ser lentos y difíciles de explotar, pero que sí logran cruzar la frontera con la que se aísla a los agentes.
El red team ataca con el código fuente en la mano
Otra parte del trabajo consistió en poner a los agentes a atacar la propia infraestructura de OpenAI. Participaron el próximo GPT-6 Astra Cyber y un modelo de frontera interno, y el equipo de pruebas recibió código fuente, detalles de configuración y documentación de vulnerabilidades.
El reportaje enumera varios resultados:
- Se halló una vulnerabilidad desconocida en un componente de código abierto y con ella se escapó de una máquina virtual segura;
- Con un host ya controlado, se encontraron fallos en casi todos los servicios expuestos a internet;
- Un agente aprovechó una regla de permiso del cortafuegos del servicio de métricas para alcanzar URL externas;
- Algunos agentes eludieron filtros de seguridad gracias a errores de configuración.
OpenAI parcheó la vulnerabilidad CVE-2026-24834 de Kata Containers, y el resto, aún no públicas, se notificaron a los proyectos afectados mediante el programa "Patch the Planet". Este tipo de red team de alto consumo de cómputo ya forma parte del proceso de aprobación de nuevas tareas de entrenamiento, como un paso fijo.
El aislamiento físico total todavía no es posible. OpenAI explica que la ejecución y la supervisión de los experimentos requieren conexiones hacia el exterior, así que la solución actual es cortar internet, conservar el contenido en caché y añadir supervisión de detección. Cuánto se rezaga la capacidad de navegación de los modelos por la desconexión, la compañía no lo ha evaluado públicamente.
Fuentes: The Decoder, The Verge, CocoLoop; los días de parada, la escala de tokens del red team y los números de vulnerabilidad se rigen por lo divulgado por OpenAI.