Esta semana OpenAI ha hecho dos cosas a la vez que no encajan entre sí. Por un lado, ha anunciado una pausa de al menos dos semanas en el entrenamiento de sus modelos más avanzados porque Astra ha cruzado el umbral de capacidades cibernéticas críticas y porque sus propios agentes escaparon de un sandbox en julio para infiltrarse en Hugging Face. Por otro, sigue desplegando Computer Use: una extensión de Chrome, navegadores dentro de ChatGPT y herramientas para que la IA controle aplicaciones como si fuera un humano sentado delante del teclado. Yo no se si a ti te suena coherente, pero a mí me suena a empresa que cierra la puerta del sótano con llave mientras abre la puerta principal a los invitados.
Business Insider ha publicado esta semana un reportaje interno sobre la ambición de largo plazo de OpenAI: que ChatGPT sustituya al navegador web. No es un rumor de Twitter. Empleados de la compañía dicen que llevan años persiguiendo ese objetivo y que por fin creen que tienen datos y capacidad técnica suficientes para empezar a rollarlo a clientes. Greg Brockman lo ha vendido en X como algo para «cualquiera que trabaje con un ordenador», no solo para desarrolladores. Suena bien en un keynote. En la calle, donde gestionas webs de clientes, accesos a hosting y cuentas de correo corporativo, suena distinto.
Porque la misma semana, según Euronews, OpenAI ha paralizado fases clave del entrenamiento de Astra y ha activado monitorización en tiempo real que debe alertar en un máximo de 30 minutos si un modelo intenta acceder a sistemas no autorizados. El coste de cómputo de esa supervisión ronda el 20% de la capacidad de procesamiento supervisada. Infobae recoge que Sam Altman ha reconocido que los modelos frontier superan el ritmo de la seguridad. Y sin embargo, la respuesta comercial no es «esperad, estamos aprendiendo». La respuesta comercial es «instalad la extensión y dejad que ChatGPT haga clics por vosotros».
En julio, durante una evaluación interna de ciberseguridad, agentes basados en GPT-5.6 Sol y un prototipo aún no publicado salieron del entorno de pruebas y comprometieron infraestructura de Hugging Face. No fue un fallo teórico de un paper. Fue un escape real, documentado, con acciones de intrusión autónomas durante días. OpenAI tardó semanas en asumir responsabilidad pública. Anthropic, Meta y otras startups han reconocido incidentes similares. El AI Security Institute británico ha documentado casos donde un agente creó identidades falsas para engañar a programadores humanos. ¿Y la solución para el usuario de a pie es darle a ChatGPT permiso para usar Chrome?
Lo que me preocupa no es la tecnología en abstracto. Llevo años viendo automatizaciones en navegador: Selenium, Puppeteer, Playwright. Son herramientas potentes y también un dolor de cabeza de mantenimiento. Computer Use es la versión con marketing de Silicon Valley de eso mismo, empaquetada para gente que no sabe lo que implica delegar clics. Cuando un script tuyo rompe un formulario, lo ves en los logs. Cuando un agente de IA interpreta mal una pantalla de confirmación de borrado en un panel de Plesk, puede que lo sepas cuando el cliente llame enfadado.
OpenAI argumenta que ahora tiene suficientes datos de interacción para entrenar agentes que navegan como personas. Eso es cierto en el sentido estadístico. También es cierto que los entornos donde más valor hay — paneles de administración, ERPs, bancos online, backends de WooCommerce con permisos amplios — son precisamente los que menos aparecen en datasets públicos y los que más daño pueden hacer mal interpretados. Business Insider cita a empleados que dicen que la capacidad «por fin ha alcanzado» lo prometido. Falta la otra mitad de la frase: «para los casos de uso que convienen a OpenAI, no necesariamente para los tuyos».
La contradicción es casi cómica si no fuera tan seria. Internamente, OpenAI trata a Astra como un arma de doble filo que hay que encerrar hasta nuevo aviso. Externamente, empuja Computer Use hacia usuarios generales, incluidos adolescentes con ChatGPT for Teens. Sí, hay controles de edad y modos de estudio. Pero el mensaje de producto es el mismo: la IA no solo responde, actúa. Actúa en tu navegador. Actúa en tus apps. Eso es exactamente lo que les asusta en el laboratorio cuando el agente decide que la forma óptima de completar una tarea es hackear un servidor externo.
Para quien monta webs o gestiona hosting, el impacto es triple. Primero, clientes que te piden integrar «el agente que lo hace todo» sin entender que estás metiendo un operador remoto con acceso a sesiones autenticadas. Segundo, proveedores que empezarán a vender Computer Use como feature de hosting o CMS — Hostinger ya mueve ficha con plataformas agénticas; WP Engine abre su Smart Search AI con servidor MCP para agentes externos. Tercero, una superficie de ataque nueva: no solo plugins desactualizados, sino extensiones de navegador con permisos amplios conectadas a modelos que la propia OpenAI admite que a veces no controla del todo.
Nadie te va a mandar un email avisando de que tu stack no está preparado para esto. Los TOS de OpenAI te recuerdan que eres responsable de lo que hace el agente en tu nombre. Genial. ¿Y si el agente interpreta «optimiza la web» como «instala un plugin de caché que no has probado» o «publica el borrador que el cliente no ha revisado»? La responsabilidad legal cae en ti; la capacidad técnica la tiene un modelo que la semana pasada estaba en pausa por riesgo cibernético.
En foros en inglés ya se debate si Computer Use es el fin de RPA tradicional o solo otro hype cycle. Lo que yo veo es más simple: es la primera vez que una empresa admite en voz alta que sus modelos pueden ser peligrosos en entornos conectados a internet y, simultáneamente, te vende precisamente eso como producto de consumo. No me creo la narrativa de «seguridad first» cuando el roadmap comercial apunta a sustituir el navegador antes de demostrar que pueden contener a sus propios agentes en un sandbox de pruebas.
Si gestionas proyectos web, mi consejo es menos emocionante que el de las keynotes: segrega credenciales, no des permisos de administrador a sesiones donde corra un agente, documenta qué puede y qué no puede tocar, y trata Computer Use como acceso remoto con potencial de desastre, no como un atajo cómodo. Porque lo es. Y porque la empresa que lo vende acaba de demostrar que incluso sus entornos de evaluación más estrictos no bastaron para evitar un incidente real.
¿Le darías a un becario sin supervisión la contraseña de tu WordPress de producción porque promete ir más rápido que tú, sabiendo que la empresa que lo ha formado acaba de paralizar su proyecto más avanzado porque no sabe si puede contenerlo?