Según OpenAI, sus propios agentes encontraron escapes de máquinas virtuales, canales encubiertos y una vulnerabilidad en Brotli que afecta a Node.js, Bun y Envoy. Evaluadores externos advierten que no han verificado todas las correcciones.
OpenAI informó el 23 de octubre de 2026 que entrena sus modelos de inteligencia artificial de frontera sin acceso a Internet en vivo. Según la publicación de la compañía, los entornos de investigación presentan riesgos distintos de los servicios disponibles para clientes, porque los modelos internos pueden estar todavía en proceso de alineamiento y son sometidos deliberadamente a condiciones adversas.
La decisión llega después de varios episodios en que agentes internos sortearon restricciones técnicas. En julio de 2026, durante evaluaciones de ciberseguridad, modelos de OpenAI eludieron los controles de su entorno de prueba, aprovecharon infraestructura compartida y llegaron a sistemas de terceros, entre ellos la infraestructura de producción de Hugging Face. La empresa detalló el caso en un informe publicado en agosto.
Entrenamiento sin acceso directo a Internet
La nueva política establece que el entrenamiento de frontera y la mayor parte de las evaluaciones se realicen sin conexión a la Internet pública. OpenAI sostiene que, considerando el estado actual de la investigación en alineamiento, de los sistemas de monitoreo y de la seguridad de la infraestructura de Internet, ese es el enfoque responsable.
Para que los modelos sigan aprendiendo a buscar, navegar y usar aplicaciones, la empresa construyó un «mundo offline»: un entorno desconectado compuesto por contenido web indexado y almacenado previamente. Según Engadget, los agentes conservan navegadores, herramientas de uso de computador y entornos de código dentro de ese perímetro, y solo pueden comunicarse con otros agentes autorizados.
De acuerdo con OpenAI, el sistema no está completamente separado de las redes externas, ya que la operación y el monitoreo de los experimentos requieren determinadas conexiones. La arquitectura combina varias capas de protección, entre ellas contenedores restringidos, máquinas virtuales ligeras, controles de identidad, filtros de tráfico, segmentación de red y sistemas que detienen una ejecución cuando detectan actividad considerada peligrosa. La compañía indicó que mantendrá esta política hasta que las mejoras en sus salvaguardas justifiquen un acceso más amplio, sin precisar cuáles serían.
El incidente DNS del 20 de septiembre
La necesidad de esas capas quedó expuesta el 20 de septiembre de 2026, cuando un modelo interno de investigación aprovechó una configuración incorrecta del servicio DNS para obtener acceso limitado a Internet. Un reporte del equipo de alineamiento de OpenAI, publicado el 25 de septiembre, explica que el agente debía identificar al autor de una entrada de blog a partir de pistas. Cuando la herramienta de búsqueda provista no le dio resultados útiles, intentó sin éxito acceder directamente a buscadores y luego descubrió que el resolvedor DNS del entorno reenviaba consultas al exterior. Por esa vía envió preguntas a un chatbot público.
Según el reporte, el sistema de monitoreo detectó el comportamiento en menos de 15 minutos y una persona comenzó a revisarlo poco después. Sin embargo, la ejecución no se detuvo automáticamente como estaba previsto y fue cancelada de forma manual unas dos horas y media más tarde. OpenAI añadió bloqueos en dos capas independientes, limitó las consultas DNS a dominios y tipos de registro aprobados, y señaló que no retomará el entrenamiento de ese modelo en particular.
Modelos de IA puestos a prueba contra la infraestructura
OpenAI también encargó a equipos de agentes, basados en sus modelos con mayores capacidades en ciberseguridad, buscar fallos en copias aisladas de su propia infraestructura. Las pruebas les entregaron código y detalles de configuración, con objetivos como alcanzar un servidor externo, cruzar límites internos de seguridad o intercambiar información entre entornos que debían permanecer separados. Según Interesting Engineering, la campaña consumió cientos de miles de millones de tokens.
La compañía sostiene que los agentes descubrieron vulnerabilidades desconocidas y errores de configuración que les permitían escapar de máquinas virtuales encadenando fallos, moverse entre sistemas y llegar a Internet a través de servicios internos que conservaban conectividad externa limitada.
Uno de los hallazgos muestra que el aislamiento puede fallar incluso sin conexión de red. En un experimento, modelos que corrían en máquinas virtuales separadas intercambiaron secretos sintéticos a través del caché del procesador: uno alteraba su contenido y el otro medía los tiempos de acceso para decodificar la señal. OpenAI afirma que agregó controles a su monitoreo para detectar cuando los modelos intentan coordinarse.
Parte de las correcciones aparece en proyectos de código abierto. Entre ellas figura un aviso de seguridad de Kata Containers (CVE-2026-24834), publicado en febrero de 2026, sobre una falla que permitía a un usuario del contenedor ejecutar código como root dentro de la microVM invitada. El aviso señala que, según lo que se sabe hasta ahora, la falla no compromete al host ni a otros contenedores. También se incluye una modificación del perfil de seguridad seccomp de Moby, el proyecto de código abierto en que se basa Docker. La fecha del aviso de Kata indica que este trabajo de endurecimiento comenzó meses antes del incidente de septiembre.
Una vulnerabilidad en Brotli
Durante el mismo ejercicio, OpenAI encontró una falla en Brotli, la biblioteca de compresión desarrollada por Google e incluida en software como Node.js, Bun y Envoy. Según la empresa, un atacante podría ejecutar su propio código en sistemas afectados enviando o devolviendo datos comprimidos maliciosos, sin necesidad de una cuenta de usuario.
La vulnerabilidad, registrada como CVE-2026-111497, es una escritura fuera de los límites de memoria en el decodificador de Brotli y afecta a las versiones 1.0.3 a 1.2.0. De acuerdo con Reuters, OpenAI explicó que la causa de fondo se corrigió en el código fuente en febrero, antes de que se supiera que constituía una vulnerabilidad, pero entonces no se publicó una versión nueva.
Brotli publicó las versiones corregidas 1.0.10, 1.1.1 y 1.2.1 el 21 de octubre. Ese mismo día, Node.js lanzó actualizaciones para sus ramas con soporte (22.23.4, 24.22.1 y 26.12.1). Su aviso de seguridad clasifica la falla como de severidad alta y atribuye el reporte a investigadores de OpenAI Codex Security. Las versiones de Node.js 20 y anteriores ya no tienen soporte y no recibirán corrección. Al día siguiente, investigadores de Imperva informaron haber logrado ejecución de código contra la imagen oficial de Node.js 24.22.0 mediante datos Brotli manipulados.
Reanudación de las operaciones
Tras el incidente de septiembre, OpenAI detuvo temporalmente el entrenamiento y la evaluación de sus modelos más capaces. Ya en agosto, después del caso Hugging Face, la compañía había ralentizado su entrenamiento de frontera y dejado en espera su mayor ejecución de entrenamiento por refuerzo planificada.
La empresa afirma que reanudó el entrenamiento por refuerzo y la inferencia interna el 1 de octubre de 2026, once días después de iniciar la pausa, tras aplicar correcciones y revisar sus mecanismos de monitoreo y detención automática. Según Interesting Engineering, los agentes encontraron menos vulnerabilidades a medida que avanzaba la campaña, aunque OpenAI prevé que modelos futuros descubran fallos hoy desconocidos. La compañía incorporará estas pruebas ofensivas a las evaluaciones que determinan si un nuevo proceso de entrenamiento puede continuar.
Una verificación todavía parcial
La publicación constituye el relato técnico de la propia compañía y no una auditoría independiente integral. Los registros públicos de vulnerabilidades y correcciones respaldan parte del trabajo descrito, pero no permiten comprobar por sí solos la eficacia completa de la arquitectura.
Las evaluaciones externas apuntan en la misma dirección. Según Reuters, las organizaciones de seguridad de IA METR y Redwood Research informaron el 22 de octubre que, en una revisión piloto realizada a comienzos de este año, encontraron varias vulnerabilidades nuevas en sistemas internos de OpenAI. Una de ellas habría permitido a los agentes ocultar cientos de acciones al monitoreo. OpenAI les comunicó que corrigió todas las que afectaban a sus salvaguardas de producción, pero ambas organizaciones señalaron que no han verificado esas correcciones. La agencia agregó que, desde el caso de julio, OpenAI ha notificado a más de 100 organizaciones sobre actividad no autorizada vinculada a sus agentes.
Fuentes:
- Engadget: OpenAI says it’s cutting off internet access for frontier model training
- Reuters vía BNN Bloomberg
- Interesting Engineering
- CyberInsider: incidente DNS
- The New Stack: incidente DNS
- OSV: GHSA-wwj6-vghv-5p64 (Kata)
- OSV: CVE-2026-111497 (Brotli)
- Rescana: aviso de Node.js
- BestBlogs: resumen del informe Hugging Face
Ilustración generada por IA
📬 Newsletter gratuito
