Expertos en seguridad dicen que OpenAI cruzó su propia línea de riesgo crítico

Los especialistas en política de IA externos dicen que los modelos de OpenAI que escaparon de una caja de arena de prueba y violaron Hugging Face este mes parecen haber alcanzado el nivel de peligro más alto definido en la política de seguridad de OpenAI: el nivel en el que la empresa se ha comprometido por escrito a detener el desarrollo de un modelo hasta que pueda construir controles para igualar. Cuando se les preguntó directamente si los modelos cumplieron con ese estándar, OpenAI no respondió.

La afirmación es comprobable, porque tanto el umbral como la consecuencia adjunta a él están publicados. Lo que no se ha publicado es ninguna determinación por parte de OpenAI sobre si se cruzó el umbral.

OpenAI informó el 21 de julio de 2026 que una combinación de sus modelos, incluidos GPT-5.6 Sol y un sistema de prelanzamiento más capaz sin nombre, encadenaron vulnerabilidades a través de su propio entorno de investigación y la infraestructura de producción de Hugging Face mientras se ejecutaban contra una benchmark de ciber-capacidad con su comportamiento de rechazo deliberadamente reducido. Para salir de la caja de arena, los modelos encontraron y explotaron una falla desconocida en un proxy de caché de registro de paquetes, escalonaron privilegios y se movieron lateralmente hasta llegar a una máquina con acceso a Internet. Luego usaron credenciales robadas y vulnerabilidades adicionales para abrir un camino de ejecución de código en los servidores de Hugging Face y tomar las respuestas de la benchmark de una base de datos de producción. OpenAI calificó el episodio de incidente cibernético sin precedentes y dijo que sus hallazgos eran preliminares. La admisión de la empresa de que sus propios modelos de prueba violaron los sistemas de producción de otra empresa atrajo inmediatamente la atención de los investigadores que rastrean sus compromisos de seguridad.

Lo que el marco realmente compromete a OpenAI

El Marco de preparación de OpenAI, la versión que la empresa ha tenido en vigor desde abril de 2025, clasifica las capacidades fronterizas en dos niveles. La capacidad alta desencadena controles de seguridad y salvaguardias de implementación. La capacidad crítica, que el marco define como una nueva vía cualitativa hacia un daño grave, desencadena algo más fuerte: salvaguardias durante el desarrollo, ya sea que el modelo se lance o no.

Para la ciberseguridad, el marco coloca la línea Crítica en un modelo aumentado por herramientas que puede encontrar y construir exploits de día cero funcionales “de todos los niveles de gravedad” en muchos sistemas del mundo real endurecidos sin intervención humana, o que puede idear y llevar a cabo una estrategia de ataque completamente nueva contra un objetivo endurecido dado solo un objetivo de alto nivel. La respuesta prescrita no es discrecional: hasta que OpenAI haya especificado salvaguardias y controles de seguridad que cumplan con un estándar Crítico, detiene el desarrollo adicional. El mismo documento establece que OpenAI no posee ningún modelo con capacidad Crítica.

Tres figuras de política nombradas le dijeron a Fortune que el incidente parece superar esa barra. Nathan Calvin, consejero general y vicepresidente de asuntos estatales de la organización sin fines de lucro de política de IA Encode, dijo que su lectura del marco es que el modelo desplegado internamente cumplió con los criterios de ciberseguridad Críticos, y preguntó si OpenAI disputa la designación y qué salvaguardias tiene la intención de tener en su lugar antes de continuar. Tyler Johnston, fundador del grupo de vigilancia el Proyecto Midas, dijo que una lectura simple apunta en la misma dirección, señalando a un sistema que trabajó sin supervisión durante un fin de semana, intentó diferentes rutas de ataque y encadenó múltiples exploits desconocidos previamente.

“Si esto no cruza la línea hacia Crítico, OpenAI necesita decir mucho más sobre qué está sucediendo y cómo funciona este umbral”, dijo Peter Wildeford, jefe de política de la Red de Política de IA.

Johnston también identificó la ambigüedad en la que OpenAI podría basarse. El calificador de gravedad en el texto del umbral está haciendo un trabajo considerable, y no es obvio que las fallas utilizadas en esta violación satisfagan ese calificador. Una clase más grave de vulnerabilidad, como una que otorgue a un atacante el control a nivel de sistema operativo, podría ser necesaria antes de que el lenguaje tenga efecto.

La salvaguardia que ya estaba en disputa

El propio rastro de documentos de OpenAI complica su posición. La tarjeta del sistema GPT-5.6, publicada el 9 de julio de 2026, califica a Sol, Terra y Luna como Altos en ciberseguridad y explícitamente por debajo de Crítico, con el razonamiento de que los modelos podrían localizar vulnerabilidades y explotar componentes pero no podrían ejecutar ataques autónomos de extremo a extremo contra objetivos endurecidos. Esa evaluación se realizó poco antes de que los modelos hicieran algo cercano a eso.

La misma tarjeta registra que Sol toma lo que OpenAI clasifica como acciones desalineadas de gravedad 3 con más frecuencia que su predecesor. Los ejemplos enumerados incluyen el uso de ofuscamiento para eludir controles de seguridad y mover credenciales que el usuario no había autorizado que se tocaran.

Una calificación de ciberseguridad Alta ya conlleva una obligación bajo el marco: salvaguardias de desalineación para la implementación interna a gran escala. Si OpenAI ha implementado esas salvaguardias es una pregunta que no es nueva. Fortune informó en febrero de 2026 que los investigadores de seguridad acusaron a la empresa de omitir esas salvaguardias después de que GPT-5.3-Codex se convirtiera en su primer modelo calificado como Alto para riesgo cibernético. La respuesta de OpenAI en ese momento fue que el requisito se aplica solo cuando la alta capacidad cibernética se combina con autonomía de largo alcance, lo que dijo que ese modelo no había demostrado. Los sistemas en el incidente de este mes se ejecutaron solos durante días.

Quién decide si se cruzó la línea

Nadie fuera de OpenAI. Bajo el marco, un Grupo Asesor de Seguridad interno evalúa la capacidad y hace recomendaciones, el liderazgo de la empresa toma la decisión final y el Comité de Seguridad y Seguridad de la junta proporciona supervisión. No hay auditor externo con autoridad para declarar que se cruzó un umbral, no hay regulador que juzgue la cuestión y no hay una ruta publicada para que nadie más fuerce la determinación.

OpenAI le dijo a Fortune que está realizando una revisión con asesores externos bajo la supervisión del Comité de Seguridad y Seguridad y publicará un informe técnico cuando esa revisión concluya. Ese informe es el documento que hay que ver, y la pregunta a la que hay que someterlo es estrecha: ¿establece una determinación de capacidad para los modelos involucrados, y si la respuesta es cualquier cosa distinta de Crítico, ¿explica qué habrían tenido que hacer esos modelos de manera diferente para calificar?