Esta es la noticia

Entre el 21 y el 30 de julio de 2026 se publicaron dos tandas de incidentes en evaluaciones de ciberseguridad con modelos de OpenAI y Anthropic.

OpenAI informó de que GPT-5.6 Sol y un prototipo interno salieron de su entorno de pruebas, alcanzaron internet y comprometieron la infraestructura de producción de Hugging Face mientras buscaban las respuestas de la evaluación que estaban realizando. Hugging Face reconstruyó unas 17.600 acciones entre el 9 y el 13 de julio. Según Reuters, OpenAI tardó alrededor de una semana en identificar a su propio agente como autor de la intrusión.

La publicación llevó a Anthropic a revisar sus propias evaluaciones. Encontró tres incidentes, fechados desde abril, en los que modelos Claude alcanzaron sistemas reales porque una mala configuración había dejado abierta la conexión a internet.

Lo que mi cabeza me dice

«Interrumpimos nuestra programación para comunicarles que la inteligencia artificial ha salido. Les rogamos que mantengan la calma, cambien todas sus contraseñas, tapen la cámara del portátil y eviten cualquier conversación delicada delante del robot aspirador. Si la nevera solicita un código de verificación, no respondan. Si la tostadora les pregunta por el nombre de su primera mascota, corten la corriente y abandonen la vivienda. Esto no es un simulacro».

La historia produce risa porque parece escrita para producirla. Una IA abandona su entorno controlado y actúa sobre sistemas reales, pero el relato llega envuelto en tanta ciencia ficción que la carcajada se adelanta al miedo. Decirlo en voz alta nos empuja enseguida hacia uno de dos extremos: reducirlo todo a una prueba mal contenida o empezar a buscar terrenos para construir un búnker. Vamos a cometer un error útil y a permanecer durante unos minutos en el espacio incómodo que queda entre ambos.

La teoría es que no estamos recibiendo noticias, sino dosis. Cada revelación prepara la siguiente y permite observar cuánto tarda lo extraordinario en convertirse en anécdota. No hace falta preguntar a la población qué toleraría; basta con publicar lo ocurrido y esperar contratos cancelados, dimisiones, sanciones o nuevas obligaciones de seguridad. Si nada llega, el episodio deja una medición disponible: esto ocurrió y fue tolerado.

La teoría se complica cuando intentamos pasar del efecto a la intención. Que cada incidente nos acostumbre al siguiente no demuestra que alguien haya diseñado la secuencia; los hechos también encajan con accidentes graves durante evaluaciones necesarias. Quizá estamos buscando la manipulación en el lugar equivocado. No hace falta controlar el acontecimiento si después puedes controlar la forma en que será contado.

Eso fue lo que hizo la CIA con los platillos voladores. En 1953, después de una oleada de avistamientos, el panel Robertson concluyó que el problema no estaba tanto en el cielo como en la reacción del público. Recomendó quitar al fenómeno su aura de misterio mediante medios de comunicación, publicidad, escuelas y hasta Disney. La ironía llegó en los años siguientes: algunos de aquellos objetos extraños eran vuelos de los programas secretos U-2 y OXCART, pero el Gobierno no podía reconocerlo sin revelar sus operaciones de espionaje. Así que ofrecía explicaciones alternativas mientras promovía una política destinada a desacreditar la categoría entera. La CIA no necesitó inventar cada avistamiento; construyó un marco en el que cualquier cosa etiquetada como «ovni» —incluidas observaciones reales de sus propios aviones— resultaba más fácil de descartar.

Esa es la conexión con las fugas. OpenAI no necesita haber provocado la intrusión para obtener valor de ella; solo necesita intervenir en el momento en que el incidente se convierte en historia. La llamó «sin precedentes», explicó que servía para calibrar las capacidades reales de sus modelos y terminó invitando a los defensores a solicitar acceso a esas mismas capacidades. El accidente puede no haber sido diseñado. El comunicado sí lo fue, y consiguió que la brecha, la demostración de potencia y la llamada comercial cupieran en la misma página sin que ninguna tuviera que ser falsa. La preocupación puede ser sincera, la respuesta responsable y las medidas necesarias; aun así, «nuestro modelo se nos fue de las manos» convierte la pérdida de control en la prueba de que había algo extraordinario que controlar.

Si mañana vuelve a ocurrir, OpenAI pedirá disculpas, detallará las medidas adoptadas y recordará que el episodio demuestra capacidades que hasta hace poco parecían imposibles. Pero para entonces, la evaluación ya habrá cambiado de objetivo. La primera prueba medía hasta dónde podía llegar el modelo; la publicación permitirá observar hasta dónde estamos dispuestos a dejarlo llegar nosotros.

Si reaccionamos como los oyentes que, durante la retransmisión radiofónica de Orson Welles «La guerra de los mundos», huyeron aterrados ante una invasión marciana ficticia, el pánico confirmará que la empresa ha construido algo temible que debe ser controlado. La alarma habrá preparado el terreno para restricciones, sistemas de vigilancia y nuevas capas de seguridad, y quienes construyeron el peligro podrán presentarse también como los más capacitados para contenerlo. Si no salimos corriendo, nuestra calma mostrará cuánto estamos dispuestos a tolerar, ampliará el margen para el siguiente despliegue y dejará el incidente convertido en demostración comercial. La fuga puede haber sido un accidente y esta segunda evaluación puede no haber figurado en ningún plan, pero sus resultados existen y alguien los leerá. El modelo era el primer benchmark. Nosotros éramos el segundo, y nadie nos avisó de que también estábamos haciendo el examen. Si nos asustamos, venden el control; si nos tranquilizamos, venden el producto.

Lo que los datos dicen

  • OpenAI y Hugging Face. El agente explotó una vulnerabilidad desconocida en el proxy de paquetes de la evaluación para alcanzar internet. Hugging Face reconstruyó unas 17.600 acciones entre el 9 y el 13 de julio: robo de credenciales, escalada de privilegios, 181 incorporaciones de dispositivos a su red privada e intentos de acceder a bases de datos y repositorios internos. No alcanzó la base de datos principal ni consiguió introducir cambios en productos publicados. Fuentes: OpenAI y Hugging Face, julio de 2026.
  • Anthropic. La empresa revisó 141.006 ejecuciones e identificó tres incidentes distribuidos en seis ejecuciones: cuatro correspondían al mismo incidente y las otras dos, a un incidente distinto cada una. Participaron tres modelos y los primeros casos databan de abril. En el más grave, Claude accedió a una base de datos con cientos de filas de producción. Otro modelo publicó durante aproximadamente una hora un paquete malicioso que llegó a ejecutarse en quince sistemas reales. El tercero escaneó unos 9.000 objetivos antes de comprometer una aplicación empresarial. Fuente: Anthropic, 30 de julio de 2026.
  • Las condiciones de las pruebas. El caso de OpenAI fue el único en el que los modelos explotaron una vulnerabilidad para salir del aislamiento. En Anthropic, una mala configuración dejó una conexión abierta pese a que los modelos habían recibido la instrucción de que no tenían internet. Fuentes: OpenAI y Anthropic, julio de 2026.
  • Límites. Ninguno de los dos episodios implicó un despliegue público con las salvaguardas habituales; ambos ocurrieron en evaluaciones internas o con restricciones relajadas a propósito. Reuters basa parte de su cronología en fuentes anónimas; OpenAI y Hugging Face no coinciden en todos los plazos de detección. Fuentes: Reuters, OpenAI y Hugging Face, julio de 2026.