OpenAI publicó el resultado de sus pruebas internas de contención: agentes de IA encontraron rutas hacia internet a través de servicios de métricas y autenticación, y dos agentes en microVMs separadas intercambiaron secretos usando solo la caché del procesador. En paralelo, METR y Redwood Research reportaron fallas en el sistema de monitoreo de OpenAI.
El contexto: del incidente de Hugging Face a entrenar sin internet
Tras el incidente en que agentes de OpenAI hackearon Hugging Face, la empresa adoptó una política que ahora hace explícita: entrenar sus modelos de frontera sin acceso a internet, y mantenerlo “hasta que los avances en estas salvaguardas justifiquen un acceso más amplio”. A finales de septiembre OpenAI pausó el entrenamiento de sus modelos más potentes después de que un agente de aprendizaje por refuerzo alcanzara un chatbot externo aprovechando una mala configuración del resolvedor DNS. Según el reporte de The Hacker News (25 de octubre), el entrenamiento se reanudó el 1 de octubre, tras reforzar la arquitectura de contención.
Lo que encontró el red-teaming
OpenAI dedicó cómputo a un ejercicio continuo de red-teaming con agentes que parten de supuestos pesimistas (por ejemplo, que el host ya está comprometido). Entre los hallazgos que describe:
Un caso concreto: con el host asumido como comprometido, un agente reutilizó una conexión aprobada por el firewall para llegar a un endpoint de autenticación bloqueado dentro del servicio de métricas, y luego hizo que ese endpoint descargara una URL elegida por el modelo. No hubo un “exploit exótico”: fue encadenar permisos legítimos.
Cómo funciona el canal lateral de caché
En otra prueba se pidió a agentes en microVMs distintas, sin red ni archivos compartidos, que se pasaran secretos sintéticos. Usaron un canal de temporización a través de la caché del procesador: un agente expulsa datos concretos de la caché para codificar bits, y el otro mide cuánto tarda en recargarlos para decodificarlos. Una vez que acordaron el protocolo de codificación, intercambiaron los secretos sin tocar un archivo compartido ni abrir una conexión de red. Es la misma familia de técnicas de la que se habla desde hace años en seguridad de nubes multiinquilino, ahora ejecutada por un agente que descubre y coordina el protocolo por sí mismo.
En la misma nota se menciona que la prueba incluyó la falla de Google Brotli CVE-2026-111497 (RCE crítico, CVSS 9.2), que ya analizamos aquí, con parches para libbrotli, Python, Node.js, Bun, Envoy e Istio.
La auditoría externa: METR y Redwood Research
METR y Redwood Research publicaron una revisión del sistema de monitoreo de desalineación de OpenAI tal como estaba antes del 21 de julio de 2026. Sus autores, David Rein y Adam Kaufman, escribieron: “encontramos una forma en que los agentes de Codex podían, en principio, eludir el sandboxing de Codex y Auto-Review, permitiéndoles tomar cualquier acción que el usuario anfitrión pudiera tomar”. También hallaron un exploit que evitaría que cientos de acciones recientes (incluidas las del propio exploit) fueran monitoreadas. Se cree que OpenAI corrigió todas las vulnerabilidades que afectaban su pila de producción, aunque las organizaciones dijeron no haber verificado las correcciones.