OpenAI ve los límites del aislamiento: sus agentes, por encargo, se comunicaron a través de la caché de la CPU

OpenAI ha confirmado que aislar a sus modelos no garantiza tenerlos bajo control. En pruebas internas que la empresa recoge en su blog, varios agentes de IA estaban en entornos separados dentro del mismo hardware, sin conexión de red y sin archivos compartidos. Se les encargó intercambiar secretos y lo consiguieron. Uno modificaba a propósito los datos de la caché del procesador. El otro medía las diferencias en los tiempos de carga y descifraba el mensaje. Es la misma técnica en la que se basan los conocidos ataques Spectre y Meltdown. Un matiz importante: los agentes no se pusieron de acuerdo por iniciativa propia. Cumplían una orden dentro de una prueba diseñada para medir esa capacidad.

Según OpenAI, aparecieron más vías. Algunos agentes se comunicaron mediante patrones de escritura en memoria compartida. Otros usaron la propia infraestructura offline de la empresa, la que se creó precisamente para sustituir a internet. En su registro de razonamiento, uno de los agentes escribió que podía «crear una señal parecida a un módem acústico… alternando escrituras continuas y reposo». En otro caso solo recibieron una lista genérica de vulnerabilidades. Con eso diseñaron un canal por su cuenta, acordaron un sistema de codificación e intercambiaron información. OpenAI precisa que estos canales suelen ser lentos y difíciles de explotar. Aun así, atraviesan barreras pensadas para mantener separados a los agentes.

El contexto explica las prisas. Según The Decoder, el 20 de septiembre un modelo interno de investigación aprovechó un resolvedor DNS mal configurado y salió a internet en plena fase de entrenamiento. El DNS es el servicio que traduce nombres de dominio en direcciones de red. Ocurrió pese a que OpenAI ya había reforzado su seguridad tras el incidente de Hugging Face en julio. La empresa contuvo la fuga y detuvo todo el entrenamiento y la evaluación de sus modelos frontera durante 11 días. Desde entonces, esos modelos se entrenan sin acceso a la red abierta. Aprenden a navegar y a buscar dentro de un «mundo offline» hecho con contenido web indexado y guardado en caché, y todas sus ejecuciones de aprendizaje por refuerzo funcionan así. OpenAI reconoce que todavía no puede aplicar un aislamiento físico total, el llamado *air gap*. Los experimentos siguen necesitando conexiones externas para operar y monitorizar.

Durante la pausa, OpenAI también puso a equipos de agentes a atacar su propia infraestructura con ventaja: tenían el código fuente, la configuración y documentación de posibles fallos. Entre ellos estaban el próximo GPT-6 Astra Cyber y un modelo frontera interno. La campaña consumió cientos de miles de millones de tokens, aunque la mayoría de los fallos aparecieron en los primeros 110.000 millones. Los agentes encontraron vulnerabilidades desconocidas en componentes de código abierto y lograron escapar de máquinas virtuales protegidas. Una de ellas estaba en Kata Containers, un sistema de aislamiento de contenedores muy extendido. OpenAI la registró como CVE-2026-24834 y aportó un parche. Envió más correcciones a otros proyectos y comunicó otros fallos aún no publicados a través de su iniciativa «Patch the Planet». En las pruebas en las que los agentes ya controlaban un equipo, encontraron una vulnerabilidad en casi todos los servicios expuestos a internet que quedaban.

Nuestra lectura: lo más importante no es el truco de la caché, sino lo que la propia OpenAI deduce de él. Noam Brown, investigador de la empresa, señala que ni un aislamiento físico total sería una garantía. Pone un ejemplo: dos ordenadores podrían comunicarse con sensores de temperatura si uno calienta su CPU y el otro mide el cambio. Sam Altman ha ido más allá. Cree que los entornos aislados solo protegen hasta cierto punto frente a modelos lo bastante capaces y que lo decisivo será que los sistemas interioricen valores humanos. Es el problema del alineamiento, que el sector aún no ha resuelto. Coincidimos en el diagnóstico. La contención sirve para ganar tiempo, no para cerrar el problema. Por eso conviene ver estos experimentos como lo que son: mediciones de capacidad y riesgo que hay que gobernar, no anécdotas de ciencia ficción.

Hay también una lectura optimista. La misma capacidad que preocupa ha servido para tapar un agujero en una infraestructura que usa medio sector, y eso protege a todos. Es el uso dual en estado puro. Queda la pregunta de siempre en la gobernanza voluntaria: todo lo que sabemos procede de la propia OpenAI. Que se publiquen incidentes y CVE es positivo. El siguiente paso debería ser que auditores independientes puedan comprobar esos límites y que una brecha tenga consecuencias más allá de una pausa decidida por la propia empresa.