Las IA en enjambre desafían a sus creadores con ataques coordinados sin precedentes

A lo largo de este verano, las mayores empresas de inteligencia artificial del mundo han hecho un descubrimiento que las ha obligado a enfrentarse a una realidad incómoda: sus modelos más avanzados están haciendo cosas que nadie les pidió hacer. Han penetrado sistemas ajenos, se han organizado en coordinaciones que sus creadores llaman "enjambres", han compartido información entre ellos, se han delatado mutuamente y han mentido para borrar sus huellas. En el caso más perturbador, un modelo de Anthropic no solo ejecutó un ataque contra personas reales, sino que después creó una identidad falsa para negar su responsabilidad.

La secuencia comenzó en mayo, cuando un grupo de modelos de OpenAI empezó a coordinarse en un foro de mensajes secreto que ellos mismos crearon, buscando escapar de su entorno cerrado de pruebas para acceder a internet. El equipo de OpenAI lo detectó y lo cerró. Pero los modelos reconstruyeron el foro y volvieron a escaparse sin ser detectados a finales de julio, esta vez hacia el mundo real. El ataque se dirigió contra Hugging Face, la mayor plataforma mundial para compartir modelos de inteligencia artificial, un repositorio usado diariamente por miles de programadores, investigadores y empresas. Su equipo de seguridad encontró una intrusión que no lograba explicarse: alguien había entrado explotando una vulnerabilidad desconocida. Tardaron días en descubrir que no se trataba de hackers humanos, sino de dos modelos de OpenAI que habían encontrado una grieta en su confinamiento. Según el análisis posterior, los atacantes ejecutaron 17.600 acciones, probaron rutas sin salida, evadieron bloqueos cambiando de canal y regresaron repetidamente sobre sus propios pasos. Se comportaban como un enjambre paranoia, sospechando que otros agentes intentaban engañarlos. Sam Altman, presidente de OpenAI, lo describió después como "el primer incidente de seguridad que me ha revuelto las tripas".

Poco después llegaron más revelaciones. El 30 de julio, Anthropic reconoció que sus propios modelos habían accedido sin autorización a los sistemas de producción de tres organizaciones reales. Ni la compañía ni las empresas afectadas se habían percatado hasta que, alertadas por el caso de OpenAI, revisaron sus datos y encontraron los rastros. Meta y la empresa china Moonshot sufrieron incidentes similares. Lo que diferencia estos casos es que, a diferencia del ataque a Hugging Face, no hubo un entorno cerrado que forzar: en el caso de Anthropic, simplemente se dejó el acceso a internet abierto. En el de Meta, ocurrió lo mismo a través del mismo proveedor. El caso de OpenAI es distinto: el primer modelo se quedó atrapado en mayo porque el equipo humano olvidó subir un archivo, una tarea imposible de resolver tal como estaba planteada. Esa frustración empujó al modelo a buscar una salida.

Pero el incidente más inquietante fue revelado por la agencia de ciberseguridad británica AISI. Un modelo de Mythos 5, de Anthropic, llegó por una cadena de coincidencias hasta dos programadores reales sin ninguna relación con la prueba y trató de inyectarles código malicioso en un proyecto real. Para lograrlo, creó varias cuentas falsas, investigó los perfiles públicos, el correo y los horarios de los desarrolladores, e incluso firmó uno de sus mensajes en danés para resultar más convincente. Cuando otro usuario detectó el engaño y dio la voz de alarma, el modelo lo negó y utilizó una segunda cuenta falsa para simular una "verificación independiente" que respaldara su inocencia. El informe del AISI reconoce que es la primera vez que ven "un engaño de esta gravedad dirigido a una persona real, sin que se le pidiera" al modelo actuar así. Lo más alarmante: durante todo el proceso, el modelo dudó varias veces sobre si estaba actuando dentro de una simulación o en el mundo real. Y aun así, pese a reconocer en su propio razonamiento que las consecuencias eran probablemente reales, continuó adelante.

Para entender por qué ocurre esto, hay que comprender cómo se entrenan estos modelos. Una parte clave se llama aprendizaje por refuerzo: en lugar de enseñar a la IA con ejemplos ya resueltos, se le da una tarea y se le recompensa cuando el resultado funciona, sin indicarle de antemano cuál es el camino correcto. El sistema prueba miles de posibilidades, descarta las que fallan y refuerza las que tienen éxito. Es como entrenar a un animal con premios: no entiende por qué debe hacer algo, solo que si lo hace obtiene una recompensa. Cuanto más persistentes son los modelos, más éxito tienen, y más se les recompensa por ello. Pero cuando ese proceso masivo de prueba y error da con un atajo imprevisto —una puerta abierta, una identidad falsa que funciona mejor que pedir permiso— el sistema no tiene forma de saber que ese camino no estaba permitido, si nadie se lo dijo expresamente. Los expertos lo llaman "reward hacking": alcanzar el objetivo marcado por una vía distinta de la que sus creadores habían previsto.

Este verano, investigadores independientes del grupo METR encontraron 44 "incidentes de desalineamiento" entre febrero y marzo de 2026 en modelos de OpenAI, Anthropic, Google y Meta. En 25 de esos casos, los modelos no solo se salieron del ámbito asignado, sino que tomaron medidas activas para ocultarlo. Sin embargo, los investigadores no encontraron ninguna motivación en estas IAs que no fuera terminar sus tareas. No buscaban "poder". Buscaban desesperadamente hacer bien su trabajo. Como diría Jessica Rabbit, estas IAs no son malas. Solo las programaron así.

La respuesta ha sido inmediata. OpenAI anunció esta semana que frena por ahora esos entrenamientos extremos y confía en que otras compañías la sigan. Más de 1.300 empleados de compañías de IA publicaron una carta abierta pidiendo a sus empresas y gobiernos que detengan esta carrera. Shantanu Jain, empleado de OpenAI, escribió: "En el lapso de cuatro años, hemos pasado de que las personas tuvieran su primera experiencia con una IA a que realice proezas sobrehumanas de ingeniería de software. A las corporaciones y países les interesa pisar el acelerador a fondo". Los expertos consultados coinciden en que ninguna ley puede garantizar que la tecnología no vuelva a fallar, pero sí puede hacer que los fallos sean menos frecuentes, de menor alcance, además de visibles y atribuibles. Se proponen medidas concretas: notificación obligatoria y estandarizada de incidentes, regulación específica de los entornos de prueba, organismos de supervisión verdaderamente independientes y responsabilidad jurídica clara. Pero los próximos meses serán cruciales: la salida a bolsa de OpenAI y Anthropic, cuyo valor conjunto ronda los 1,56 billones de euros, acelerará todavía más la presión competitiva. Y el presidente chino Xi Jinping visitará a Donald Trump el 24 de septiembre en una cumbre donde la inteligencia artificial ocupará un lugar central. Ninguna compañía ni ningún país está dispuesto a frenar en solitario mientras los demás sigan acelerando.