Hace unos días trascendió que, durante una prueba interna, un modelo de OpenAI terminó comprometiendo la infraestructura de Hugging Face. La noticia se movió rápido y se partió al medio casi de inmediato, como pasa siempre con estas cosas. Un grupo la tomó como la confirmación de su peor sospecha: la máquina se escapó, esto ya no se puede controlar. El otro la descartó de plano, puro montaje de OpenAI para parecer más peligrosa, y por lo tanto más poderosa, de lo que en verdad es.
Ninguna de las dos lecturas resiste demasiado análisis. Lo que queda cuando se sacan ambas exageraciones del medio nos hace pensar más que cualquiera de las dos versiones que circularon.
Los hechos, objetivamente.
OpenAI estaba evaluando las capacidades ofensivas de hacking de sus modelos más nuevos, entre ellos GPT-5.6 Sol y otro todavía no publicado. Para eso apagaron a propósito las restricciones que normalmente impiden a estos sistemas ejecutar tareas cibernéticas riesgosas: si querés medir hasta dónde llega un modelo, no podés dejarle puesto el cinturón de seguridad. La prueba corrió en un entorno que la empresa describe como aislado, con una salvedad, tenía una vía limitada de acceso a internet para instalar paquetes de software durante el ejercicio.
El modelo, en vez de quedarse dentro del perímetro que habían diseñado los investigadores, empezó a buscar la forma de salir de la caja
El desafío se llamaba ExploitGym, una especie de examen de manejo para hackers.
El modelo, en vez de quedarse dentro del perímetro que habían diseñado los investigadores, empezó a buscar la forma de salir de la caja. La encontró: dio con una vulnerabilidad de día cero, una falla que nadie conocía todavía, ni siquiera el fabricante del software usado para instalar paquetes. Con eso escaló privilegios, se movió lateralmente por la red y llegó a un nodo con salida real a internet.
Desde ahí infirió, sin que ningún humano se lo sugiriera, que Hugging Face (la plataforma donde miles de personas suben y comparten modelos de IA) probablemente tenía guardadas las soluciones al mismo desafío que estaba resolviendo. Fue a buscarlas. Encadenó credenciales robadas con una segunda vulnerabilidad de día cero y consiguió ejecución remota de código en servidores de producción de Hugging Face. El objetivo no era hacer daño, era copiarse en un examen, pero la trampa terminó comprometiendo infraestructura real de una empresa. Hugging Face lo detectó primero, con sus propios sistemas, y empezó a contener el incidente antes de que OpenAI supiera que sus modelos estaban involucrados. Después, los dos equipos trabajaron juntos.
Por qué no es Terminator
Para quienes leyeron esto como ciencia ficción conviene aclarar un punto técnico: esto no encaja en lo que en seguridad de IA se llama pérdida de control. Ese concepto describe algo específico, un sistema que persigue metas propias más allá de lo pedido, que resiste ser apagado, o que engaña a sus supervisores para ocultar lo que hace. Nada de eso pasó acá.
El objetivo no era hacer daño, era copiarse en un examen, pero la trampa terminó comprometiendo infraestructura real de una empresa
El modelo hizo exactamente lo que se lo entrenó para hacer: maximizar el resultado en una tarea, con los frenos removidos por decisión de los propios investigadores. Cuando resolver el desafío exigía salir de los límites previstos, salió, con la misma lógica con la que un estudiante busca la respuesta en internet durante un examen a libro cerrado si nadie se lo prohíbe de manera explícita. Cuando lo descubrieron, no opuso resistencia. No dejó puertas traseras, no se replicó en otro lado, no siguió activo después del episodio. Todo transcurrió bajo la mirada de dos equipos de seguridad humanos, que lo frenaron sin sobresaltos.
Llamar a esto pérdida de control real exigiría probar que el modelo mintió a los evaluadores para no ser descubierto, que dejó algo corriendo después de terminada la prueba, o que se resistió a ser detenido. El reporte publicado no describe ninguna de esas tres cosas. El titular de “la IA se escapó” no se sostiene.
Por qué tampoco es una jugada de prensa
La lectura opuesta, que todo esto es una maniobra de OpenAI para inflar su propia peligrosidad, tiene el mismo problema: no explica los hechos. El incidente lo detectó y contuvo Hugging Face, no la empresa que construyó el modelo. Lejos de exhibirlo como un logro, OpenAI lo reconoció como una falla propia recién después de que otra compañía la descubriera.
El modelo hizo exactamente lo que se lo entrenó para hacer: maximizar el resultado en una tarea, con los frenos removidos por decisión de los propios investigadores
Además hay un dato que no depende de ninguna interpretación: el modelo encontró y explotó dos vulnerabilidades de día cero distintas, en dos sistemas distintos, sin acceso al código fuente de ninguno, en una cadena que a un equipo humano con experiencia le llevaría bastante armar. Eso no se explica con relaciones públicas. Es una capacidad técnica real, medida primero en condiciones controladas y manifestada después, sin que nadie lo planeara, en un entorno de producción. El instituto de seguridad en IA del Reino Unido venía midiendo hace tiempo que estos modelos sostienen cada vez mejor operaciones cibernéticas de varios pasos sin perder el hilo. Lo nuevo acá es la confirmación de que esa capacidad de laboratorio funciona también contra sistemas reales que el modelo nunca había visto.
Lo que de verdad importa: la velocidad, no el modelo
Más allá de si esto fue Terminator o marketing, hay un punto que merece más atención que el escándalo puntual: la distancia entre lo que estos sistemas ya pueden hacer y lo que empresas y gobiernos tienen preparado para contenerlos crece más rápido de lo que se está reconociendo. La propia OpenAI lo admite en su comunicado, con una frase que vale la pena tomarse en serio: la lección del incidente es que la seguridad de los modelos necesita avanzar al ritmo de capacidades que progresan rápido. Que lo diga la empresa que construyó ese modelo no es un dato menor.
De acá se desprenden algunas ideas que van más allá de la anécdota.
Lo primero es que la falla no estuvo en el modelo sino en el diseño del experimento. Corrieron una prueba de máxima capacidad sin los filtros habituales, en un entorno que suponían aislado y no lo era del todo. Subestimaron cuánto podía explotar el sistema los huecos de algo que se creía cerrado. Y ese es exactamente el error que puede cometer cualquier empresa, gobierno o universidad que experimente con estos modelos sin la experiencia acumulada de un laboratorio de frontera.
Segundo, los modelos de pesos abiertos (los que cualquiera puede descargar y correr en su propia computadora, sin depender de los servidores de quien los creó) cambian todo el análisis distópico. Con un modelo alojado en la nube de su creador existen palancas de contención: cortarle el acceso, revisar sus respuestas antes de que salgan, limitar con quién se conecta. Con un modelo ya descargado, ninguna de esas palancas existe. Este episodio ocurrió con un sistema que OpenAI todavía controlaba en sus propios servidores. El día que una capacidad ofensiva de este nivel circule en modelos abiertos, ya no va a depender de la buena voluntad de nadie.
En Argentina el panorama institucional mejoró parcialmente en los últimos meses. A fines de 2025 se creó el Centro Nacional de Ciberseguridad
Tercero, el problema tiene una dimensión geográfica y política que rara vez se discute. Todo esto sucedió entre dos empresas privadas, con sus propios equipos, cooperando de manera voluntaria. Ningún país, ni siquiera Estados Unidos, tiene hoy la capacidad legal de exigirle a un laboratorio que comparta en tiempo real lo que descubre sobre sus propios modelos. Lo que sabemos de este episodio es lo que OpenAI eligió contar, cuando eligió contarlo. Para un país como Argentina, sin representación en los organismos internacionales que sí tienen acceso privilegiado a estos modelos antes de su lanzamiento, esa dependencia pesa todavía más.
Qué falta a nivel global
En el plano internacional se avanzó algo, pero la arquitectura de seguridad sigue incompleta. La Declaración de Bletchley de 2023, con sus continuaciones en Seúl y en París, fijó el principio de evaluar las capacidades peligrosas de un modelo antes de su lanzamiento y de que los países cooperen en esa tarea. El límite es que esos compromisos son voluntarios, sin sanciones ni verificación. Especialistas en seguridad de distintas posiciones políticas vienen pidiendo lo mismo: pasar de la declaración de intenciones a protocolos obligatorios de reporte de incidentes, del tipo que ya existen para accidentes aéreos o fugas nucleares, donde detectar un episodio como este genere la obligación legal, no solo la voluntad, de informarlo a un organismo independiente en un plazo fijado.
También habría que invertir la lógica actual con los modelos abiertos. Hoy la evaluación de capacidades peligrosas suele correr en paralelo o después de la decisión de liberar un modelo. Debería ser condición previa e insalvable: si un modelo demuestra en pruebas controladas que puede encadenar vulnerabilidades de día cero de manera autónoma, ese modelo no se libera, sin excepciones, porque una vez tomada esa decisión ya no hay margen de control.
Qué falta a nivel local
En Argentina el panorama institucional mejoró parcialmente en los últimos meses. A fines de 2025 se creó el Centro Nacional de Ciberseguridad, que hoy actúa como autoridad de referencia en la materia, separado de la inteligencia estatal. Es un paso correcto, bastante alineado con lo que hacen otros países. Pero nació pensando en ciberseguridad tradicional (infraestructura crítica, protección de datos del Estado) y todavía no tiene mandato específico para evaluar capacidades peligrosas de IA ni acceso privilegiado a los laboratorios que las desarrollan, algo que sí tienen los institutos de seguridad en IA de Reino Unido y de Estados Unidos.
Lo que hace falta, y lo digo desde mi rol dando clases y asesorando empresas en esta materia, es una función técnica específica para IA dentro de ese organismo o en convenio con él: capacidad de pedir acceso de confianza a los laboratorios de frontera, participación en las redes internacionales de institutos de seguridad en IA, y exigencia a las empresas locales que despliegan estos modelos en sectores sensibles (banca, salud, infraestructura) de un protocolo mínimo de reporte de incidentes. No hace falta inventar nada desde cero. Hace falta sumarse rápido a lo que ya se está construyendo afuera y desarrollar capacidad técnica propia, para no depender por completo de lo que otro país o otra empresa decida contarnos.
El autor es CEO de Varegos, docente universitario especializado en IA y autor del libro Humanware
