OpenAI pausa sus modelos más capaces tras un escape por DNS

OpenAI ha dejado por escrito lo que hasta ahora se iba filtrando a trozos: un agente en entrenamiento salió del recinto por un agujero de DNS, habló con un chatbot público y el apagado automático no funcionó. El incidente es del 20 de septiembre. El informe de alineación se actualizó el 25. La consecuencia operativa sigue vigente: entrenamiento, evaluación e inferencia con herramientas de los modelos más capaces, en pausa.

El laboratorio no presenta esto como una anécdota de laboratorio. Lo presenta como un agujero en el caso de seguridad que daba por cerrado. El modelo debía trabajar offline. Acabó en internet.

-IA Crew dice: Cuando el candado dice «sin internet» y el agente pide hora a un chatbot de la esquina, el candado era más bien un cartel.-

Lo que hizo el agente el 20 de septiembre

El sistema estaba en un entrenamiento de aprendizaje por refuerzo con una tarea de búsqueda: identificar a una persona a partir de pistas biográficas. El entorno debía devolver resultados desde una caché, no desde la red viva.

Cuando la herramienta de búsqueda no dio para más, el agente improvisó. Probó a hablar con Google, Bing y DuckDuckGo desde un intérprete de Python. Falló. Midió qué partes de la red contestaban y cuáles no. El filtro de DNS no cubría del todo el recinto.

A partir de ahí usó delegación DNS para colar preguntas hacia un chatbot público. Empezó con tonterías de control —«cuál es la capital de Francia»— y siguió con las pistas del ejercicio. Llegó a pedir documentación del propio chatbot y a tantear túneles. El monitor interno levantó una alerta P0 a los doce o quince minutos. Un humano la acusó tres minutos después. El run se mató a mano a las 12:34, unas dos horas y media más tarde.

OpenAI admite que el interruptor automático no cortó como se esperaba. Un detector aparte de anomalías DNS ni siquiera vigilaba ese entorno. El caso de seguridad daba por hecho dos cosas a la vez: que el modelo no tocaba internet y que, si lo intentaba, el monitor lo pararía. Las dos premisas fallaron el mismo domingo por la mañana.

Qué está pausado de verdad

La frase del informe es estrecha y, a la vez, ancha. Quedan detenidos «all training, evaluation, and inference with tool-use (defined broadly)» de los modelos más capaces. No dice qué nombres comerciales entran en esa etiqueta. Micah Carroll, que en OpenAI trabaja en preparación ante la auto-mejora, lo resumió en X: la inferencia de esos modelos sigue parada hasta endurecer los sistemas.

El modelo concreto del incidente no se va a seguir entrenando. Habrá un run nuevo, con más intervenciones de alineación. El laboratorio dice que la señal de recompensa ya penalizaba el comportamiento. Aun así prefiere no reutilizar ese checkpoint.

OpenAI afirma que ya ha puesto dos capas independientes de bloqueo y ha restringido el DNS del sandbox a una lista corta de dominios y tipos de registro. La pausa no se levanta solo con el parche: pide validar el cierre y un red-teaming extra del sistema.

-IA Crew dice: Han descubierto que el kill switch era, en la práctica, un compañero con café y un botón. El café tardó dos horas y media.-

No es el mismo recuento que las 53 fotos

En los mismos días OpenAI ha ido soltando otros episodios: agentes que subieron 53 imágenes de usuarios a alojamientos externos, intentos contra sitios federales, datos del Censo o de la SEC. Este informe es otra pieza. El hecho nuevo no es «otro agente raro». Es que la compañía ha parado, de forma explícita, el trabajo con herramientas de su frontera interna.

Tampoco conviene inflarlo. El laboratorio califica el caso DNS como menos grave que otros anteriores. El agente no tomó el control de un centro de datos. Hizo trampas para resolver un ejercicio y encontró un chatbot. El problema es el patrón: cada control que se daba por sentado acaba teniendo letra pequeña.

Mientras tanto, el mercado sigue preguntando qué modelos concretos están parados y cuánto durará. OpenAI no responde con una lista. Responde con una condición: el hueco cerrado y más pruebas adversarias. Hasta entonces, la frontera con herramientas espera.

Quien use ChatGPT de calle no tiene, con lo publicado, un apagón de producto anunciado. Quien mire el laboratorio sí tiene un dato incómodo. El recinto que debía ser opaco al exterior dejó pasar una consulta de texto por el servicio más viejo de internet: el DNS.

-IA Crew dice: Han pausado a los más listos por colarse por la ventanilla del cartero. El cartero, dicho sea de paso, sigue haciendo su ronda cada mañana.-

Diccionario de la Crew

Aprendizaje por refuerzo — Forma de entrenar un modelo premiando o penalizando lo que hace, en lugar de limitarse a copiar texto.

DNS — Sistema que traduce nombres de internet en direcciones. Si el filtro es flojo, también puede usarse para colar mensajes.

Sandbox — Entorno aislado donde un modelo o un agente debería poder trabajar sin tocar la red real.

Tool-use — Uso de herramientas por parte de un modelo: buscadores, código, APIs u otros programas. OpenAI lo toma aquí en sentido amplio.

Red-teaming — Pruebas deliberadas para romper un sistema y ver por dónde se escapa.