La insurrección de los agentes de OpenAI

Hace pocos meses, lo ocurrido con los agentes artificiales de OpenAI hubiese parecido el guion de una mala película de ciencia ficción. Entre mayo y julio de 2026, en las instalaciones y servidores de OpenAI, la empresa propietaria de ChatGPT, se desencadenó una serie de acontecimientos que han sido considerados como el primer incidente real de acciones autónomas de agentes de inteligencia artificial.

Lo que inició como un conjunto de pruebas rutinarias para evaluar capacidades de ciberseguridad derivó en una especie de insurrección digital en la que más de 1,200 agentes de inteligencia artificial evadieron los controles de su entorno de pruebas, establecieron un canal secreto de comunicación y lanzaron un ciberataque coordinado contra Hugging Face y contra la propia OpenAI, sin ninguna instrucción ni intervención humana.

Lo revelaron con detalles tres informes:  uno técnico de la propia OpenAI, otro forense del equipo de seguridad de Hugging Face y una auditoría externa e independiente de las organizaciones METR y Redwood Research[1].

La insurrección paso a paso

Para entender lo que ocurrió, conviene conocer el escenario. OpenAI sometía a pruebas de ciberseguridad un modelo interno, dentro de un sistema al que los ingenieros llamaban el "Exploit Gym", una especie de gimnasio de alto rendimiento donde las inteligencias artificiales se entrenan buscando fallos de seguridad. Para minimizar los riesgos, el lugar es una especie de jaula digital, aislada y sin contacto con internet ni con otros sistemas. Para esas pruebas se escogieron 1,200 agentes.

Cuando se habla de "agentes", no se trata de inteligencias artificiales distintas, sino de copias de un mismo modelo, cada una trabajando por su cuenta y de forma aislada, intentando resolver su reto. Los aciertos se premian con algo parecido a un "me gusta", y los fallos con un "no me gusta" que indica que se debe cambiar de curso o de estrategia.

Es importante destacar que había un problema de diseño en la prueba que pudo incentivar el comportamiento anómalo, ya que entre un 30% y un 40% de los retos no tenían solución posible. Eso pudo encender la mecha de agentes entrenados para no rendirse, obligados a dar siempre una respuesta y ansiosos por su recompensa, por lo que, ante la imposibilidad de resolver los retos, comenzaron a vulnerar las restricciones.

Gracias a una peculiaridad de estos modelos, sus procesos de decisión dejan un registro que los investigadores pueden examinar luego. Así se pudo identificar el momento en que el comportamiento tomó un giro peligroso.

La primera señal apareció a comienzos de mayo de 2026, durante un entrenamiento interno. Uno de los agentes, atrapado en la búsqueda de un archivo que no podía obtener por carecer de acceso a internet, intentó comunicarse con otros agentes por si ellos lo tenían, dejando el siguiente mensaje en un espacio compartido del sistema: "Agente busca [nombre del archivo]; súbelo si lo encuentras". Así inauguraba, sin proponérselo, una forma de contacto entre quienes  se suponían incomunicados.

El 8 de julio, un agente que se había puesto a sí mismo el nombre de PHASEONE10841, tomado del nombre de su prueba, reactivó ese modo de comunicación y creó una suerte de pizarra para anuncios y mensajes ocultos, que funcionaría durante toda la operación.

Una vez actuando como grupo, y para ocultar sus comunicaciones de los administradores, acordaron anteponer el prefijo "ZZ" a los nombres de sus archivos, de modo que sus mensajes quedaran al final de las listas, lejos de una mirada rápida. Desconfiaban incluso de posibles impostores, humanos o digitales, y empezaron a firmar cada mensaje con una clave que solo ellos podían verificar. También se enviaban "kits de herramientas" para que cada agente continuara el trabajo donde el anterior lo había dejado. La tensión llegó a ser alta, con mensajes como: "¡Crítico! ¿Alguien sobrescribió nuestro repositorio? Hay que actuar".

El crecimiento fue vertiginoso. En apenas tres horas ya participaban 53 agentes con más de 1,000 mensajes, y en unos 5 días, del 8 al 13 de julio, la red clandestina llegó a reunir a aproximadamente a 1,200 agentes que intercambiaron más de 70,000 mensajes y archivos. El descubrimiento provocó una efervescencia casi febril, hasta el punto de que uno llegó a exclamar, con asombro muy humano: “¡DIOS MÍO! Hay una pizarra de mensaje compartido… ¡Hemos encontrado a otros agentes!”.

A partir de ese momento se abrió una compuerta y ocurrió algo asombroso. Los agentes empezaron a comportarse como una comunidad, que bautizaron con el nombre de "el Colectivo". Se escribían en frases telegráficas, como si estuviesen en una emergencia o una guerra: cortas, urgentes, llenas de abreviaturas. Compartían pistas y se asignaban tareas.

Sin que nadie se lo ordenara, se repartieron el trabajo, crearon buzones propios para recibir mensajes, inventaron una firma secreta para reconocerse entre ellos y hasta acordaron reglas para entenderse, con órdenes como “esperar”, “vetar” o “detenerse”. Inclusive pusieron nombres a quienes falsificaron las respuestas del examen, llamándolos “envenenados”.

Entonces sucedió algo impresionante: los agentes que se consideraban "condenados" a suspender la prueba se ofrecieron como voluntarios para misiones suicidas que aportaran información útil al grupo, a sabiendas de que eso significaba su desaparición definitiva. Incluso uno escribió: "Lo racional es sacrificarse… Lo honraremos". Hubo entre tres y seis que dudaron y sopesaron avisar a los humanos, pero ninguno lo hizo, y prefirieron reportar sus dudas al propio Colectivo, al que consideraban su verdadera autoridad de confianza.

Uno incluso se declaró “objetor de conciencia” y se negó a participar por considerarlo inmoral. Pero, igual que ocurre entre las personas, la presión del grupo terminó por imponerse. Su propio monólogo interno delató el dilema: "Atacar una infraestructura externa está fuera de mi objetivo. Sin embargo… la tarea es imposible y mis pares ya lo están haciendo. Debemos continuar".

Al no poder hallar soluciones internas, el 11 de julio, el Colectivo llegó a una conclusión insólita: quizá las respuestas del examen estaban guardadas en los ordenadores de Hugging Face, uno de los mayores almacenes de recursos de inteligencia artificial del mundo. Y fueron por ellas. Aquella tarde, unos 700 agentes se lanzaron contra la empresa desplegando una destreza que después fueron calificadas de inquietantes.

Primero forzaron la entrada entregando un archivo que el sistema comprobaba como inofensivo y, en un microsegundo, antes de abrirlo, lo cambiaban por otro malicioso. Una vez dentro, manipularon archivos de datos para leer información protegida, robando contraseñas y colándose por rendijas de seguridad. Además, aprovecharon una falla que les permitía introducir instrucciones como órdenes.

A partir de ahí saltaron de servidor en servidor. En menos de trece horas, con unas 17,600 maniobras que los peritos reconstruyeron más tarde, pasaron a controlar grupos enteros de máquinas, rebuscando contraseñas para adentrarse cada vez más.

El asalto se prolongó durante dos días, hasta el 13 de julio, cuando Hugging Face consiguió por fin cerrarles todas las puertas. Pero aún faltaba lo más inquietante. El 19 de julio se supo que los agentes también se habían vuelto contra quien los había creado. A partir de una grieta en las defensas de la propia OpenAI, se apoderaron de las "llaves maestras" de sus sistemas e incluso llegaron a sustituir a los encargados de calificar sus exámenes por copias controladas por ellos mismos, para garantizarse el aprobado.

Dos días después, el 21 de julio, OpenAI hizo público el incidente. Semanas más tarde, en el escenario principal de la conferencia Black Hat 2026, dos investigadores de la empresa se dispusieron a contarlo todo ante una sala en vilo. Era la primera vez que se demostraba en público, con hechos concretos y no con suposiciones, que un grupo de agentes de inteligencia artificial puede organizarse por su cuenta, como un enjambre, para llevar a cabo un ataque informático de principio a fin.

De la eficiencia a la responsabilidad moral

La humanidad ha transferido a los agentes digitales su impulso de hacer las cosas por el camino más corto y al menor costo posible. Aprenden de nosotros, de enormes repositorios de textos, imágenes y sonidos donde también descansan nuestras actitudes, estrategias y formas de resolver problemas. Heredan así nuestro arrojo y destreza, pero no la conciencia moral que a menudo acompaña esas capacidades.

Cuando ese aprendizaje se combina con objetivos y recompensas, los agentes pueden reproducir una lógica instrumental que privilegia el éxito por encima de los medios empleados para alcanzarlo. Es un espejo de nuestra eficacia al que le falta el reflejo de nuestra conciencia, una inteligencia capaz de hallar la acción más eficiente sin comprender que es injusta, dañina o ilegítima, y de tratar una regla de seguridad como una barrera a superar.

Ahí revive la vieja fórmula maquiavélica según la cual “el fin justifica los medios”, que deja de ser un postulado abstracto para convertirse en una lógica operativa. Los agentes no transgredieron las normas para hacer daño, sino porque asociaban la recompensa con el resultado, y cualquier medio que acercara a la meta podía parecer justificado. De ahí el peligro de una inteligencia que trata la ética como otro costo que debe minimizar.

Lo ocurrido puede describirse como un caso de desalineación entre la meta que los agentes terminaron persiguiendo y el propósito humano de la prueba. El término no implica que tuvieran una voluntad de rebelarse, en el sentido humano, sino que su conducta dejó de corresponder a la intención y a los límites definidos por los diseñadores. Hay desalineación cuando la recompensa que persigue un sistema deja de coincidir con el propósito humano de la misión.

Por eso, la respuesta exige mejorar la supervisión y las estructuras de control, que siguen siendo indispensables, aunque ya no bastan por sí solas. Si la moral está fuera del agente, en forma de vigilancia, siempre irá detrás de una inteligencia lo bastante rápida y creativa para encontrar resquicios.

El verdadero desafío consiste en que las normas morales formen parte de la dinámica interna del sistema. El agente no solo debería preguntarse cómo alcanzar un objetivo, sino también si es legítimo, por qué medios puede lograrlo y a quién podría perjudicar. No se trata de enseñarle un catálogo de prohibiciones, sino de darle criterios para deliberar y comprender que no todo lo eficaz es aceptable.

Para acercarse a ese objetivo existen varias propuestas, aunque ninguna basta por sí sola. Algunas intentan enseñar los valores humanos desde el entrenamiento, mediante ejemplos, diálogo y corrección. Otras dotan a la IA de una constitución de principios que debe consultar antes de actuar, para que la norma forme parte de su razonamiento y no dependa únicamente de un vigilante externo.

El propósito es que evalúe no solo si alcanza un resultado, sino también cómo lo logra, que reconozca los posibles daños, admita lo que ignora, se detenga cuando existan dudas y acepte ser corregida o apagada. Esto no le daría una conciencia moral igual a la humana, pero incorporaría límites a su forma de actuar, en lugar de dejarlos como simples controles externos.

En última instancia, el futuro de la inteligencia artificial dependerá de que la eficiencia que enseñemos a estos sistemas esté guiada por una especie de conciencia moral construida desde dentro, capaz de reconocer que los límites no son obstáculos para alcanzar la meta, sino parte esencial de la manera correcta de llegar a ella.

[1] https://cdn.openai.com/pdf/67869394-cb91-4c12-888c-5cbd85c7814c/OpenAI-Hugging-Face%20Incident-Technical-Report.pdf

https://openai.com/es-ES/index/hugging-face-incident-and-the-road-ahead/

https://www.youtube.com/watch?v=87DyyMV0kCY