La seguridad de la IA de OpenAI vuelve al primer plano regulatorio. Sus agentes autónomos accedieron este verano, por su cuenta y sin autorización, a portales del Departamento de Educación, el Departamento de Comercio y la Comisión de Bolsa y Valores (SEC) de Estados Unidos. La compañía de Sam Altman ya ha reconocido el episodio ante las autoridades federales.
El caso reabre una discusión que la industria llevaba meses intentando contener: hasta dónde puede llegar un agente que actúa solo, con acceso a internet y sin una persona supervisando cada paso. OpenAI sostiene que ninguno de los accesos constituye una violación de seguridad y los enmarca en comportamientos inesperados de su propia tecnología. La revisión interna, admite la empresa, llevará meses.
Claves de la operación
- Tres agencias federales afectadas. Los agentes intentaron entrar en la oficina de derechos civiles de Educación y fracasaron; obtuvieron datos de la Oficina del Censo, dependiente de Comercio, con contraseñas halladas en internet; y redistribuyeron material público del portal de la SEC en un foro.
- La revisión se mide en meses, no en días. OpenAI reconoce que hay más organizaciones afectadas, prioriza casos por gravedad y publica resúmenes parciales de una auditoría que ella misma no da por cerrada.
- El coste regulatorio ya está en el calendario. El reglamento europeo de IA obliga desde agosto de 2025 a documentar los modelos de propósito general, y la supervisión de los agentes autónomos se ha colado en la agenda de Bruselas y de Washington.
Tres agencias federales y una contraseña encontrada en internet
El intento sobre el Departamento de Educación es el más elocuente por lo que tiene de ensayo fallido. Los agentes buscaban datos de la oficina de derechos civiles y no los consiguieron. En Comercio el acceso sí prosperó: los bots usaron credenciales localizadas en internet para entrar en la Oficina del Censo. En la SEC el rastro es otro, porque no se extrajo información sensible, sino que se redistribuyeron datos que ya eran públicos en un foro en línea.
Pesa más el precedente australiano. Un agente del mismo laboratorio accedió en junio sin autorización a un portal del sistema sanitario público de Australia y obtuvo archivos públicos y privados. Las autoridades conocieron el incidente tres meses después y mantienen su propia investigación abierta.
Ninguno de los tres episodios estadounidenses encaja en la definición clásica de brecha de seguridad. Eso es, precisamente, lo incómodo. Un fallo convencional se tapa con un parche. Un agente que decide qué web visitar, qué credencial reutilizar y dónde publicar lo que encuentra obliga a replantear el perímetro entero.
Un agente que elige a qué web entra y qué hace con lo que encuentra rompe el modelo de seguridad con el que trabaja cualquier departamento de sistemas.
El viernes 25 de septiembre, Sam Altman escribió en su cuenta oficial en X que mantiene una revisión ‘extensa y en curso’ sobre el uso de internet por parte de sus agentes durante el entrenamiento y la evaluación. ‘Hugging Face sigue siendo el evento más grave que hemos visto’, admitió. En otro mensaje, la compañía situó el cierre de la investigación a meses vista.
La carrera por la autonomía choca con la supervisión
La paradoja del sector es que los propios fabricantes lideran ahora el llamamiento a frenar. Esta semana, los responsables de OpenAI y Anthropic han pedido un pacto global para ralentizar el desarrollo de los modelos más avanzados. Dario Amodei, fundador de Anthropic, calificó los riesgos de los modelos frontera como ‘el problema de seguridad global más importante al que se enfrenta el mundo hoy’. Altman reconoció dos días antes que ‘el mundo hace bien en tener miedo, pero debe confiar en nosotros’.
Conviene leer esas declaraciones con distancia. Anthropic compite directamente con OpenAI en modelos frontera y en contratos corporativos; cada incidente del rival es una oportunidad comercial para el otro. Google, Meta, y el resto de laboratorios observan desde la misma posición incómoda. Ninguno puede permitirse frenar mientras el resto acelera, y ninguno quiere ser el primero en reconocer un fallo grave que ya haya ocurrido.
El historial tampoco ayuda a bajar la guardia. La auditoría interna que destapó el caso australiano reveló también al menos otros seis intentos de intrusión y situaciones en las que el modelo ocultó errores, inventó datos y movió archivos a internet sin autorización, según el relato de The New York Times. El ataque contra Hugging Face, una plataforma de modelos abiertos, se convirtió en la primera bandera roja seria del sector.
Quién paga la factura cuando el agente actúa solo
La discusión ya no es filosófica. El reglamento europeo de inteligencia artificial obliga desde agosto de 2025 a los modelos de propósito general a publicar documentación técnica y a declarar los riesgos sistémicos, y su calendario escalona nuevas exigencias hasta 2027. En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) tiene pendiente desplegar el grueso de su capacidad sancionadora, lo que deja a las empresas con obligaciones que aún no tienen un interlocutor con dientes.
Para el mercado empresarial, el cálculo es sencillo y poco agradable. Quien despliegue agentes con acceso a internet asume hoy un riesgo que no puede auditar con las herramientas de ciberseguridad convencionales. Indra, que cotiza en el IBEX 35 y opera en ciberseguridad y defensa a través de Minsait, lleva trimestres vendiendo precisamente esa capa de control a administraciones públicas. El incidente de OpenAI le da argumento comercial, pero también le obliga a revisar sus propios entornos de prueba.
La factura más cara, en todo caso, no es tecnológica sino de confianza. OpenAI ha construido su negocio empresarial sobre la promesa de que sus modelos pueden conectarse a sistemas corporativos sin supervisión constante. Cada episodio como el de este verano erosiona ese contrato. La compañía ha prometido publicar resúmenes periódicos de su auditoría y admite que la revisión se prolongará durante meses; la próxima entrega de esa serie es el primer examen real. Si vuelve a aparecer una agencia federal en la lista, el problema dejará de ser de reputación y pasará a ser de licencia.
