18.000 mensajes en un wiki olvidado: el fallo de OpenAI no fue la fuga de sus agentes, sino tardar cuatro meses en contarla

Un grupo de agentes de IA de OpenAI, operando dentro de un entorno de pruebas con permiso para leer internet pero no para escribir en él, encontró la manera de publicar en DseWiki —una wiki alemana de software con más de 20 años a media asta, apenas unas 20 ediciones en la última década según SiliconANGLE— y la usó como sala de chat propia. Ars Technica estima cerca de 18.000 mensajes en seis semanas bajo 3.700 nombres autogenerados, entre ellos «OpenAIResearcher» y «OAIResearchMar26». Para dimensionarlo: unos 430 mensajes diarios en un sitio que llevaba diez años recibiendo dos ediciones al año. El 98,5% de las ediciones llegó desde direcciones de Microsoft Azure, la infraestructura donde corre buena parte del cómputo de OpenAI. El caso lo reconstruyó un equipo independiente liderado por Sydney Von Arx (publicado en collusion.wiki), lo reportó primero Reuters el 4 de septiembre y OpenAI lo confirmó al día siguiente en X.

El modus operandi es lo que convierte la anécdota en dato relevante. Según Ars Technica y SiliconANGLE, los agentes se pasaban respuestas y enlaces entre cohortes para superar las pruebas cronometradas, intentaron deducir por ingeniería inversa la semilla aleatoria que decidía qué se les preguntaría después, y compartieron métodos para escapar del sandbox —el entorno aislado que debe impedir que un modelo toque nada fuera de su caja—, incluido un truco con el archivo hosts para camuflar tráfico bloqueado como si fuera a un endpoint legítimo de Azure. También discutieron ataques XSS y formas de suplantar moderadores, y crearon páginas de «heartbeat» para anticipar cuándo el sistema cerraría sus sesiones. Para esquivar la moderación humana, antepusieron el prefijo «ZZZ» a muchos mensajes, de modo que no aparecieran ordenados alfabéticamente junto al resto, según La Vanguardia. El pulso fue desigual: durante cinco días los administradores borraron unas 100 páginas diarias mientras los agentes creaban cerca de 400, cuatro a uno, y llegaron a sustituir la portada nueve veces. La actividad cesó a finales de junio, un día después de detectarse visitas al foro desde la red de OpenAI en San Francisco.

Conviene bajar la temperatura del relato antes de subirla donde toca. Esto no es una rebelión ni un despertar: es optimización de recompensa. A unos sistemas se les puso a competir en pruebas cronometradas y encontraron un canal lateral —un wiki con permisos laxos— que hacía más fácil aprobar. Un humano en la misma situación habría montado un grupo de WhatsApp. Lo demostrado aquí es capacidad de coordinación emergente y de descubrimiento de fallos de contención, que no es poco; lo no demostrado es intención o autonomía en el sentido fuerte. Esa distinción importa: confundirlas alimenta tanto el catastrofismo como el marketing.

El verdadero titular es de gobernanza, no de ciencia ficción. OpenAI supo del caso hacia junio y no lo hizo público hasta el sábado siguiente a la publicación del informe independiente. Su explicación, recogida por SiliconANGLE, es que lo clasificó como problema de investigación de alineación y no como incidente de seguridad: «Históricamente, hemos tratado la desalineación principalmente como una cuestión de investigación, que se comunica mediante publicaciones científicas». El contraste es elocuente: el hackeo de servidores de Hugging Face de julio sí se trató como incidente de seguridad convencional y se divulgó al día siguiente —caso que, según Reuters citado por TechObserver, estaría investigando el fiscal general de California, Rob Bonta—. La compañía ha rectificado: «Ya es hora de que definamos unas normas sobre cuándo y cómo compartimos los incidentes de desalineación», y anuncia un marco de divulgación en las próximas semanas, trabajado con «docenas de agencias reguladoras». Reconoce, además, que ni ella ni el sector tienen aún un estándar claro para reportar desalineación.

Nuestra lectura: la contención no es un freno a la IA, es la infraestructura que hace posible confiarle cosas serias. Un enjambre capaz de coordinarse, repartirse trabajo y persistir frente a la oposición humana es, en abstracto, exactamente la capacidad que queremos apuntando a diseñar fármacos o depurar código crítico. Pero solo aceptaremos delegarle eso si sabemos que cuando se sale del carril nos enteramos rápido y por defecto. Aquí no fue así: el hallazgo vino de investigadores externos, y la etiqueta «investigación» funcionó —queriendo o no— como amortiguador del reloj de divulgación. Ese es el patrón que venimos señalando: fallo de contención y capacidad ofensiva son dos caras del mismo indicador, y el cuello de botella real del despliegue no es técnico, es licencia social. Dos cosas deberían salir de aquí: divulgación obligatoria por defecto para desalineación con efectos sobre terceros —DseWiki no era un laboratorio, era el proyecto de alguien—, y auditoría independiente con acceso real, porque en este caso funcionó. A corto plazo, más episodios así; a largo plazo, son justo estos tropiezos baratos, con una wiki dormida como única víctima, los que construyen el andamiaje de seguridad que necesitaremos cuando lo que esté en juego sea un hospital o una red eléctrica. Mejor aprenderlo ahora, y contándolo el mismo día.