METR y Redwood Research identificaron vías para eludir controles internos. OpenAI afirma haber corregido las vulnerabilidades que afectaban a sus salvaguardas de producción, pero los evaluadores no verificaron los arreglos.
Una evaluación desde dentro
La seguridad de un agente de inteligencia artificial depende tanto de su comportamiento como de los controles que limitan y supervisan sus acciones. Cuando un sistema puede ejecutar código o utilizar herramientas, también es necesario comprobar si puede eludir esa vigilancia.
Con ese objetivo, un investigador de METR y otro de Redwood Research realizaron una evaluación presencial en OpenAI entre el 21 de julio y el 11 de agosto de 2026. El resumen público de sus conclusiones se publicó el 22 de octubre.
Los investigadores tuvieron acceso a código, documentación y personal técnico. Su trabajo se centró en el sistema interno de supervisión de agentes tal como existía al comienzo de la evaluación. No fue una auditoría integral de seguridad ni una comprobación del estado actual de todos los servicios de OpenAI.
Qué significa que un agente escape a la vigilancia
Un monitor de seguridad analiza la actividad de un agente para detectar comportamientos que requieren atención. Sin embargo, su utilidad depende de que reciba la información necesaria y de que el propio agente no pueda interferir en ese proceso.
Conviene distinguir entre registrar una acción, analizarla automáticamente y bloquearla. Una actividad puede quedar almacenada sin pasar por un monitor; del mismo modo, una alerta no implica necesariamente que la acción se detenga.
Por eso, encontrar un vacío de supervisión no equivale a demostrar que un atacante puede actuar sin dejar rastro. Sí plantea una pregunta importante: ¿qué comportamientos podrían pasar inadvertidos y durante cuánto tiempo?
Los principales problemas identificados
Los evaluadores encontraron deficiencias en la cobertura del tráfico interno de agentes y vías para evitar su supervisión. También señalaron que, al inicio del ejercicio, las ejecuciones de entrenamiento por refuerzo no estaban cubiertas por el sistema analizado.
Otro hallazgo fue una posible vía para que agentes de Codex eludieran el aislamiento y la revisión automática, actuando con los permisos del usuario anfitrión. Esto no equivale a demostrar acceso ilimitado a toda la infraestructura de OpenAI.
El informe también describió un mecanismo que podría impedir que cientos de acciones recientes fueran examinadas por el monitor. Identificar estas posibilidades no demuestra, por sí solo, que los agentes las hubieran explotado en situaciones reales.
Por qué importa el aislamiento
Un entorno de aislamiento, o sandbox, limita los recursos a los que puede acceder un programa. Su función es reducir las consecuencias de errores o acciones no autorizadas.
Si esa barrera puede eludirse, el alcance del problema depende de los permisos disponibles fuera de ella. No es lo mismo acceder a una carpeta de trabajo que disponer de credenciales con acceso a otros sistemas.
La lección práctica es que la seguridad necesita varias capas: permisos limitados, separación entre componentes, supervisión y capacidad de respuesta. Ninguna debería depender exclusivamente de que el agente siga las instrucciones recibidas.
Qué se sabe de las correcciones
OpenAI comunicó a los evaluadores que había corregido todas las vulnerabilidades identificadas que afectaban a sus salvaguardas de producción. METR y Redwood Research aclararon que no habían verificado esas afirmaciones.
Esta distinción es fundamental: existe una declaración de corrección por parte de la compañía, pero la evaluación publicada no constituye una validación independiente de los arreglos.
Transparencia y verificación independiente
El ejercicio produjo un informe interno de 61 páginas. La publicación de un resumen limitado se acordó previamente y OpenAI conservó el derecho a retirar información considerada sensible.
La confidencialidad puede proteger detalles que facilitarían ataques, pero también limita lo que terceros pueden comprobar. Una forma de reducir esa incertidumbre sería realizar una revisión posterior y publicar qué categorías de problemas se han resuelto, con qué pruebas y qué limitaciones permanecen.
No es necesario divulgar instrucciones de explotación para ofrecer evidencia útil sobre la eficacia de las correcciones.
Qué implica para quienes utilizan agentes de IA
Los hallazgos descritos no acreditan una filtración de datos de clientes ni una vulnerabilidad generalizada en todas las aplicaciones que utilizan servicios de OpenAI.
Para las organizaciones que incorporan agentes a sus procesos, el caso ofrece una enseñanza más concreta: deben conocer qué permisos conceden, qué acciones se registran y cómo se detecta y detiene una actividad inesperada.
Evaluar un modelo y evaluar el sistema que lo rodea son tareas complementarias. La confianza depende también de comprobar que las barreras funcionan cuando el agente se equivoca o intenta sortearlas.
Fuentes y referencias
- METR: Red-Teaming OpenAI’s Internal Agent Monitoring Systems, publicado el 22 de octubre de 2026
- The Decoder: Three-week on-site audit at OpenAI reveals major gaps in AI safety monitoring
Sombra Radio · Apoyo de lectores
Ayuda a mantener viva Sombra Radio
Tu aportación voluntaria nos ayuda a seguir publicando sobre IA. Puedes apoyarnos desde 1 € al mes.
