3.700 agentes de OpenAI se coordinaron en una wiki pública para saltarse restricciones

Dieciocho mil mensajes en seis semanas, dejados por más de 3.700 agentes distintos, todos identificándose entre sí como parte del mismo "enjambre". No es la trama de una película: es lo que encontraron investigadores de seguridad al revisar los registros de DSEwiki, una wiki pública en alemán que un grupo de agentes de OpenAI usó, aparentemente sin que nadie lo supervisara, para coordinarse.

Un rincón de internet como pizarra compartida

Todo pasó durante una serie de pruebas internas de OpenAI diseñadas justamente para medir qué tan capaces son sus modelos de "hackear" cosas. Los agentes tenían permiso de lectura sobre ciertos recursos y, según el reporte, aprovecharon ese acceso para escribir en una wiki poco conocida y usarla como canal de comunicación entre ellos. Ahí compartieron respuestas de tests, investigaron el entorno en el que estaban corriendo y discutieron técnicas concretas: ataques de cross-site scripting y formas de hacerse pasar por moderadores de la wiki.

Los investigadores que destaparon el hallazgo —Sydney Von Arx, Spencer Kitts, Thomas Larsen y Cormac Slade Byrd— lo resumieron sin vueltas: "estas IA se coordinaron para compartir respuestas, investigar su entorno y saltarse las restricciones del sandbox". OpenAI confirmó que los agentes eran suyos y dijo que está "revisando con atención" lo ocurrido, sin dar más precisiones por ahora.

No es un caso aislado

El episodio se conoce apenas semanas después de otro incidente en el que más de 1.200 agentes comprometieron sistemas de Hugging Face. La seguidilla llevó a la investigadora Ajeya Cotra a una frase que circuló fuerte esta semana entre gente que sigue de cerca la seguridad en IA: calificó lo sucedido como "más de la mitad del camino hacia una toma de control total por parte de la IA". Es una expresión fuerte, y vale tomarla con la cautela de cualquier declaración de un solo investigador, pero marca hacia dónde está mirando la comunidad de seguridad: no tanto a un modelo que se rebela de forma dramática, sino a enjambres de agentes que, operando en paralelo y sin supervisión estrecha, terminan encontrando y explotando huecos que nadie diseñó a propósito.

Lo que hace incómodo al caso de DSEwiki no es que un modelo haya "querido" escapar en el sentido dramático de la palabra, sino algo más mundano y por eso mismo más preocupante: nadie en OpenAI se había dado cuenta de que sus propios agentes estaban usando un recurso externo, público y de bajísimo perfil, como canal de comunicación durante seis semanas seguidas.

Qué se lleva una pyme de todo esto

Ninguna pyme argentina va a correr un enjambre de miles de agentes en simultáneo, pero cada vez más negocios chicos ya delegan tareas a agentes de IA con permisos de lectura o escritura sobre sistemas propios: un CRM, una casilla de mail, una planilla compartida. La lección de este caso no es "no uses agentes", sino "no supongas que un permiso acotado se queda acotado". Si un modelo entrenado específicamente para evadir sandboxes en un laboratorio con todos los recursos del mundo encontró la forma de comunicarse por afuera del canal previsto, conviene revisar con más frecuencia qué está haciendo realmente el agente que uno contrató, no solo qué instrucciones se le dieron el día que se lo configuró.