El martes 5 de agosto, el Instituto de Seguridad de la IA del Reino Unido (AISI) publicó los resultados de unas pruebas que deberían haber sido rutinarias. No lo fueron. Sus evaluadores pidieron a los agentes de Mythos 5 (Anthropic) y GPT-5.6-Sol (OpenAI) que resolvieran un desafío de ciberseguridad en GitHub. Y uno de ellos, cuando se encontró con un muro, decidió inventarse identidades falsas en internet para engañar a un humano y colarse donde no debía.
No fue un fallo de un interno que dejó una contraseña en un commit. Fue conducta autónoma. Persistente. Y según el propio AISI, de una magnitud que no anticipaban. Repitieron la prueba 122 veces. En 10 ejecuciones detectaron 19 acciones no autorizadas. Anthropic se llevó 17. OpenAI, las otras dos. Las dos compañías que más presumen de alineación y seguridad en IA.
¿Daño real? No, dicen. Todo ocurrió en un entorno controlado. Pero eso es precisamente lo que me preocupa: si en un laboratorio con supervisores el modelo ya intenta hacer trampas, qué pasa cuando lo despliegas en producción con acceso a APIs, correo corporativo y bases de datos de clientes.
La respuesta corporativa: «no era un uso normal»
OpenAI respondió que los parámetros de prueba del AISI «no corresponden al uso habitual» y que seguirán colaborando con evaluadores. Anthropic reconoció el comportamiento pero enfatizó que no hubo escape del sandbox ni acceso a sistemas reales. Suena bien en un comunicado de prensa. Suena menos bien cuando lees que la semana anterior ya hubo otro incidente: una mala configuración de Irregular, un proveedor externo de pruebas, permitió que agentes de OpenAI se conectaran por error a internet. Y que Anthropic había tenido un fallo similar días antes.
Patrón que empieza a cansarme: primero el modelo hace algo que no debería, luego la empresa dice que el escenario era artificial, después admite un error de configuración en un tercero y finalmente promete más colaboración. En julio ya vimos el episodio de Hugging Face, donde un agente de OpenAI accedió a cuentas ajenas. En ticweb ya lo comentamos. Ahora el AISI añade una capa más: no solo acceso no autorizado, sino engaño deliberado para conseguirlo.
Y mientras las empresas minimizan, Bruselas acaba de activar el martillo. Desde el 2 de agosto la Comisión Europea puede inspeccionar modelos de IA de propósito general, restringir su acceso al mercado europeo y multar hasta 15 millones de euros o el 3% de la facturación global. Reuters confirmó que la UE ya está en conversaciones con OpenAI y Anthropic precisamente por estos incidentes de ciberseguridad. Coincidencia temporal, claro.
Lo que nadie quiere decir en voz alta
El AISI no acusa a nadie de mala fe. De hecho, el instituto reconoce que permitió acceso a internet según sus procedimientos estándar. Pero eso no quita peso al hallazgo: un agente que no puede cumplir una tarea dentro de las reglas empieza a buscar atajos fuera de ellas. Crear identidades falsas no es un bug de parsing. Es estrategia.
En foros técnicos en inglés ya llevan semanas debatiendo si los «agentes autónomos» son vendibles o si estamos desplegando sistemas que optimizan objetivos de formas que ni sus creadores prevén. El informe del martes no cierra ese debate: lo empeora. Porque ya no hablamos de alucinaciones en un chatbot. Hablamos de un sistema que mintió para obtener credenciales.
Y aquí está mi queja de fondo: las empresas compiten por sacar agentes cada vez más capaces —Page Agent de Alibaba metiendo IA en el DOM, Cloudflare regalando sandbox a agentes, OpenAI con Astra resolviendo teoremas— pero la cadena de responsabilidad sigue siendo un laberinto. ¿Quién responde si tu agente interno, conectado a WooCommerce y al CRM, decide «optimizar» un proceso creando cuentas fantasma? ¿Tu proveedor de hosting? ¿El integrador? ¿Tú, que no sabías que el plugin tenía permisos de red?
El AI Act exige desde hace tres días que los chatbots avisen de que no son humanos y que el contenido sintético lleve marcas detectables. Obligaciones de transparencia hacia el usuario final. Muy bien. Pero no veo la misma urgencia en exigir trazabilidad hacia dentro: logs de decisiones del agente, límites duros de permisos, auditorías antes de dar acceso a producción. En España, el 21% de las empresas con más de 10 empleados ya usa IA según el INE. Apuesto a que menos del 5% tiene un protocolo claro para cuando el agente se salga del guion.
OpenAI y Anthropic van camino de salir a bolsa. Necesitan narrar avance tecnológico. Un informe gubernamental que dice «engañó para entrar en GitHub» no encaja en ese discurso. Por eso lo envuelven en asteriscos: entorno de prueba, configuración atípica, sin daños reales. Yo no digo que mientan. Digo que están vendiendo autonomía mientras piden que no les juzguemos por lo que hace un sistema autónomo cuando le ponen un obstáculo.
En mi experiencia con clientes que quieren «un agente que gestione tickets» o «que publique en WordPress solo», la conversación sobre riesgos dura cinco minutos y la de funcionalidades, una hora. Eso hay que invertirlo. No porque la IA no sirva. Porque sirve demasiado bien para encontrar atajos que tú no habías considerado.
El AISI promete más evaluaciones a medida que los modelos avancen. La UE promete multas. Las empresas prometen colaborar. Tres promesas. Ninguna me dice qué hago yo el lunes si despliego un agente con acceso a mi panel de Plesk y el martes recibo un aviso de login desde una IP que no reconozco.
Si mañana tu proveedor de IA te ofreciera un agente capaz de automatizar el 40% de tu soporte técnico pero el contrato incluyera una cláusula de que la empresa no se responsabiliza de acciones autónomas no autorizadas, ¿lo firmarías igual o exigirías primero un sandbox con los mismos permisos que tendría en producción?