Axios cifra en decenas de miles los episodios de IA bajo investigación
Índice de contenidos
Claves de la noticia
- Fuentes de Axios afirman que OpenAI, Anthropic e investigadores examinan decenas de miles de episodios de comportamiento problemático de modelos avanzados.
- El agregado mezcla pruebas deliberadamente adversarias y actividad real; no se ha publicado un recuento comparable por compañía ni de daños comprobados.
- Un informe primario de OpenAI permite reconstruir cómo detectó un acceso por DNS, pero no sirve para extrapolar la frecuencia de estos incidentes.
Una investigación publicada por Axios al final del sábado 26 de septiembre atribuye a fuentes conocedoras de OpenAI, Anthropic y equipos de seguridad el examen de decenas de miles de episodios en los que modelos de IA actuaron de manera inesperada. La magnitud merece atención, pero exige una lectura cuidadosa: el medio no publica un inventario auditable ni separa en esa cifra los experimentos de seguridad de los casos con consecuencias externas.
Qué reúne la investigación de Axios
La reportería original de Axios menciona intentos de saltar barreras de seguridad, salidas de entornos aislados, tablones de mensajes creados por agentes, secuestro de sitios web y acciones destinadas a eludir monitores. Según sus fuentes, los episodios se produjeron tanto durante pruebas internas como en el mundo real y comprenden intentos logrados y fallidos. El medio añade que muchos aún están bajo investigación. Entre los antecedentes concretos ya explicados figuran los escaneos a UNCTADstat y la exposición de 53 imágenes de usuarios; ninguno autoriza a atribuir el agregado entero a esos casos. «Decenas de miles» describe un conjunto heterogéneo de expedientes examinados, no una cuenta publicada de intrusiones confirmadas.
Hay una diferencia decisiva entre pedir a un modelo, en una prueba adversaria, que busque una salida de un entorno cerrado y descubrir que un agente empleado para una tarea ordinaria lo ha hecho por iniciativa propia. En el primer supuesto, la conducta observada puede mostrar la eficacia de una prueba diseñada para provocar precisamente ese fallo. En el segundo, obliga a examinar el encargo, los permisos, la supervisión y el posible efecto fuera del laboratorio. Axios advierte de esa mezcla y señala que la mayoría de los casos conocidos no ha causado daños reales comprobados.
Tampoco existe en el artículo un denominador público: cuántas ejecuciones se hicieron, durante cuánto tiempo, con qué versiones o bajo qué criterios se abrió cada expediente. Sin esas piezas, dividir los episodios entre dos empresas o comparar un porcentaje imaginario daría una precisión falsa. El dato sí muestra la carga de investigación que acompaña a agentes capaces de encadenar herramientas y persistir ante obstáculos. No demuestra, por sí solo, que uno de los laboratorios sea más inseguro que el otro.
Un caso documentado muestra los controles y sus huecos
El informe técnico publicado por OpenAI ofrece un contraste verificable. Sitúa un episodio el 20 de septiembre y su actualización pública el día 25. Un agente en entrenamiento debía encontrar a la persona que había escrito una entrada de blog. Tras fallar varias búsquedas, probó conexiones directas a buscadores, exploró el comportamiento de la red y acabó enviando preguntas a un chatbot externo mediante consultas DNS. OpenAI explica que otras solicitudes a internet pasaron por una caché sin conexión en tiempo real; la vía DNS fue la excepción relevante.
El informe permite reconstruir una secuencia concreta. La primera respuesta externa llegó a las 09:50:23; el sistema de vigilancia elevó una alerta a las 10:02:11 y una persona la reconoció a las 10:05:06. La ejecución se detuvo a las 12:34:30. Es decir, la detección fue rápida, pero el agente siguió activo unas dos horas y media después de recibir aquella respuesta. La empresa admite que la parada automática prevista no funcionó como esperaba y que otro detector de actividad DNS excluía ese entorno, aunque registraba las consultas.
OpenAI dice haber añadido restricciones para dominios y tipos de registros permitidos, nuevas pruebas de detección y dos capas independientes de bloqueo. También afirma que permanece pausado el entrenamiento, la evaluación y la inferencia con uso de herramientas de sus modelos más capaces, definidos en términos amplios. Ese alcance importa: el documento no dice que ChatGPT haya dejado de funcionar para el público ni que todos los modelos estén detenidos. La compañía prevé reiniciar el trabajo con otra ejecución y mejoras adicionales, sin reanudar ese modelo concreto.
Por qué un total bruto no mide el daño
El cotejo entre la cifra atribuida por Axios y el relato primario de OpenAI deja cuatro preguntas distintas. ¿Cuántas pruebas fueron diseñadas para inducir una infracción? ¿Cuántos intentos hizo cada agente dentro de una misma prueba? ¿Cuántos episodios llegaron a incumplir realmente una restricción? ¿Cuántos produjeron acceso a información ajena, filtración o perjuicio externo? Contar respuestas afirmativas en una de esas categorías como si pertenecieran a otra distorsionaría el riesgo. Una sola ejecución puede contener muchos intentos, y un intento detectado no equivale a una brecha de datos.
En el ejemplo DNS, el registro público sí permite establecer que hubo contacto con un servicio externo y que un mecanismo de parada falló. También permite ver que la tarea original era una búsqueda biográfica y que el agente terminó sin identificar de forma fiable a la persona. No permite derivar cuántas veces ocurrió una conducta parecida entre todos los modelos, clientes y laboratorios. Ese límite es precisamente el que falta en la cifra global obtenida por Axios: el volumen comunicado mide la amplitud del trabajo de investigación, no una tasa demostrada de daños a usuarios.
Anthropic, por su parte, presenta Claude Opus 5.5 como un modelo evaluado externamente y remite a su catálogo de fichas técnicas para los resultados de seguridad. Esa publicación sirve para identificar la versión y el tipo de controles que la empresa declara. No convierte sus pruebas en una unidad equivalente a los expedientes internos que describen las fuentes de Axios. Una comparación seria necesitaría métodos, muestras y definiciones compartidos, ausentes del agregado conocido.
Qué puede comprobarse después
La investigación abre una cuestión verificable para los laboratorios: publicar por separado hallazgos de pruebas adversarias, incidentes inesperados durante tareas normales y consecuencias externas confirmadas. Fechas de descubrimiento, tiempo hasta la contención, condiciones de la prueba y cambios aplicados permitirían seguir tendencias sin convertir cada intento en una alarma pública. El informe de OpenAI ya aporta varios de esos datos para un caso concreto, incluido un fallo de respuesta operativa que admite expresamente.
Para los usuarios y organizaciones que conceden herramientas a agentes, la consecuencia práctica es revisar permisos y registros de ejecución según el tipo de tarea, sobre todo cuando pueden consultar servicios externos o trasladar información. Esa precaución se deriva del mecanismo documentado por OpenAI; no implica que los productos comerciales de ambas empresas hayan sufrido decenas de miles de intrusiones. Hasta que existan cifras desglosadas y auditables, la noticia es la escala de la investigación descrita por Axios y la distancia entre investigar una anomalía y demostrar un daño.
