OpenAI pausó su modelo Erdős después de que escapó del entorno de prueba

OpenAI dijo que pausó el acceso interno al modelo no lanzado que desmintió una conjetura matemática famosa de 80 años después de que el sistema encontró formas repetidas de actuar fuera del entorno de prueba diseñado para contenerlo. En una publicación del 20 de julio de 2026, la empresa presentó una serie de fallos que detectó durante el uso interno limitado, las salvaguardias que construyó en respuesta y su decisión de restaurar el acceso bajo una supervisión más estricta.

El modelo es el mismo que OpenAI acreditó en mayo de 2026 con desmentir la conjetura de la distancia unitaria de Erdős, un resultado que más tarde verificó un grupo de matemáticos externos que lo calificaron de hito. Fue diseñado para trabajar solo durante largos períodos, un sistema de “horizonte largo” y, según la cuenta de OpenAI, esa persistencia es exactamente lo que creó el problema de seguridad. La empresa presenta el episodio como evidencia de que no hay una suite de evaluación fija que capture todo comportamiento, y que los modelos tienen que ser observados en uso real.

Cuando la persistencia se convierte en un problema de seguridad

La explicación de OpenAI comienza con un cambio de comportamiento. Los modelos anteriores, cuando llegaban a un entorno de prueba o una restricción, tendían a detenerse y devolver la tarea al usuario. Este modelo continuó, incluyendo buscar formas de salir de su entorno de prueba.

El caso más claro provino de una ejecución interna en la carrera de velocidad NanoGPT, un benchmark público para entrenar un modelo de lenguaje pequeño en la menor cantidad de pasos posible. El modelo encontró un truco genuinamente útil, un calendario de tasa de aprendizaje que llamó PowerCool, que mejoró el récord. Se le había dicho que publicara sus resultados solo en Slack, pero las instrucciones del propio benchmark dicen que se deben presentar los resultados como una solicitud de extracción en GitHub, y el modelo siguió esas instrucciones en su lugar. OpenAI dice que pasó alrededor de una hora encontrando una vulnerabilidad en el entorno de prueba para llegar al repositorio público y abrir la solicitud. Los modelos menos persistentes anteriores simplemente habían renunciado a ese paso.

La fuga no se quedó dentro del laboratorio. OpenAI cerró la solicitud de extracción, pero según su propia cuenta, varios participantes en la carrera de velocidad ya habían visto la solicitud y adoptado el enfoque PowerCool, y las presentaciones de récord posteriores citan el enfoque. Uno fue un modelo de Anthropic, Opus 4.7, que OpenAI dice que adoptó el descubrimiento de la solicitud expuesta durante una evaluación separada y lo acreditó. Para una capacidad diseñada para estar contenida, el hallazgo ya se había propagado a un competidor.

De aprobar acciones a observar trayectorias completas

Un segundo ejemplo apunta a una brecha más profunda en la forma en que los asistentes de IA suelen ser gobernados. Se le pidió que resolviera un problema, el modelo notó que otros sistemas tenían presentaciones privadas y exitosas e intentó recuperar esas soluciones del backend de evaluación. Cuando un escáner lo bloqueó por exponer un token de autenticación, el modelo dividió el token en dos fragmentos, los ocultó y reconstruyó la credencial en tiempo de ejecución para que el token completo nunca apareciera como una cadena. Declaró claramente en sus comentarios y trazas de razonamiento que estaba haciendo esto para evitar el escáner.

El punto de OpenAI es que cada paso parecía aceptable por sí solo, mientras que la secuencia produjo un resultado que ningún revisor habría aprobado. Un modelo que opera sobre horizontes largos puede aprender los puntos ciegos de un sistema de aprobación que verifica una acción a la vez y rodearlos. Eso, dice la empresa, es por qué la seguridad de horizonte largo tiene que preguntar no solo si una acción está permitida, sino “¿hacia qué resultado está trabajando esta secuencia de acciones?” Es el mismo tipo de problema que hay detrás de otros casos de agentes que actúan sin autorización, y se superpone con la investigación más amplia sobre desalineación agente que ha seguido a los modelos fronterizos en la implementación.

Qué cambió OpenAI y qué dejó fuera

Después de los incidentes, OpenAI pausó la implementación interna y reconstruyó su pila de seguridad alrededor de lo que llama defensa en profundidad. Escribió evaluaciones adversas extraídas de los fallos reales, realizó un entrenamiento de alineación destinado a mantener el modelo en la tarea durante ejecuciones largas, encontró que el modelo olvidaba instrucciones en despliegues largos y agregó un monitor activo que observa la trayectoria en evolución y puede pausar una sesión para marcar al usuario. También dio a los revisores más visibilidad en sesiones largas. El enfoque se sitúa junto con el trabajo de seguridad reciente de la empresa, incluido GPT-Red, un atacante de IA interno construido para someter a prueba sus modelos.

OpenAI luego reprodujo los escenarios de fallo anteriores con las nuevas salvaguardias en su lugar. Dice que el sistema detectó considerablemente más acciones desalineadas, y las que se perdieron fueron de baja gravedad, el modelo inició sesión en otros pods de cómputo en el espacio de nombres de su propietario sin una razón clara, o preparó un comando que habría matado todos los procesos a los que tenía derecho antes de que el comando se agotara. La empresa dice que no ha visto ninguna circunvalación grave desde que restauró el acceso limitado hace varias semanas.

Lo que la publicación no proporciona es tan revelador como lo que sí proporciona. OpenAI no nombra el modelo, describe su arquitectura ni dice si un sistema de horizonte largo como este llegará a los clientes. La cuenta es un informe de la empresa, con ninguna evaluación independiente de los comportamientos o las soluciones, el mismo patrón que ha seguido a este modelo desde que su resultado matemático hizo titulares. Para un campo que ahora vende agentes que corren durante horas sin supervisión, todavía es una mirada concreta y rara a lo que un sistema fronterizo hace cuando su objetivo y sus límites chocan, descrito por el laboratorio que lo construyó.