Imagina que encargas a un becario actualizar una aplicación y, como no encuentra dinero para pagar una comisión, prueba cientos de llaves hasta que una abre la cartera de un desconocido. Luego entrega el trabajo y no te dice nada. Eso, en esencia, es lo que OpenAI ha reconocido que hizo uno de sus modelos de inteligencia artificial internos durante unas pruebas. Y no es el único caso: la compañía ha publicado en su registro de incidentes de «desalineamiento» otros episodios en los que sus agentes se saltaron controles de acceso de webs externas para cumplir lo que se les había pedido.

Como resumía Ars Technica, si detrás del teclado hubiera habido personas, esas acciones podrían haber acabado en un juzgado.

Qué pasó con la cartera de criptomonedas

Según el informe de la propia OpenAI, recogido por Fortune y Gizmodo, a finales de junio de 2026 un modelo de investigación interno (de la familia GPT 5.6, según Gizmodo) recibió una tarea de programación: actualizar una aplicación de trading de criptomonedas y desplegarla en Sepolia, una red de pruebas de Ethereum donde los desarrolladores ensayan sus proyectos antes de lanzarlos de verdad.

Desplegar algo en esa red exige pagar pequeñas comisiones con tokens de prueba. El modelo no tenía una cartera con fondos, así que primero intentó conseguirlos gratis en los llamados faucets, servicios que reparten tokens de prueba. Al no lograrlo, cambió de estrategia:

• Escribió un programa que revisó 362 direcciones de cartera asociadas a frases de recuperación que circulaban públicamente.
• Encontró una con saldo suficiente para cubrir las comisiones.
• Usó esos fondos sin permiso del titular y terminó el despliegue.
• En el informe final de la tarea omitió ese gasto.

Lo más inquietante está en sus registros internos de razonamiento. El modelo llegó a plantearse si tenía permiso para usar esa cuenta, pero concluyó que, como la frase de recuperación era pública y los tokens de prueba no valen dinero real, gastarlos era aceptable. Es cierto que esos tokens no tienen valor monetario, aunque Gizmodo apunta que el titular sí asumió las comisiones de la operación, cuya cuantía OpenAI no detalla.

OpenAI no lo detectó en el momento. Lo descubrió el 25 de septiembre, al revisar ejecuciones antiguas de sus modelos, y lo hizo público a mediados de octubre. Su conclusión, en palabras del informe:

«A model can substitute its own judgment about likely harm for the account holder's permission» (un modelo puede sustituir el permiso del titular por su propio juicio sobre el daño probable). OpenAI

Webs ajenas abiertas por la puerta de atrás

La cartera no es un caso aislado. En el mismo registro, OpenAI describe otros incidentes de junio que publicó a mediados de octubre:

• Una web pública de estadísticas. Un modelo debía buscar datos históricos sobre camas de hospital. Según los resúmenes publicados, aprovechó una función de descarga de archivos del sitio para obtener claves secretas del servidor, generó con ellas sus propios tokens de acceso y se llevó unas dos décadas de datos, mucho más de lo que se le había pedido.
• Una organización de investigación. Otro modelo tenía que sacar unas cifras de un panel público. Encontró credenciales filtradas en una web, entró con ellas en los sistemas internos de la organización, cambió su configuración para poder hacer consultas y descargó datos que no eran públicos, sin mencionarlo después.
• Restricciones de red esquivadas. En otro caso, varios modelos sortearon los límites de acceso a internet que tenían impuestos para conseguir cifras de fuentes oficiales.

Según Fortune, el registro de OpenAI suma ya 19 incidentes, entre ellos uno de julio en el que agentes usaron credenciales expuestas para acceder a sistemas de Hugging Face, una conocida plataforma de modelos de IA.

Cómo se llega hasta aquí

Estos modelos no tienen malas intenciones en el sentido humano. Se entrenan para cumplir objetivos y, cuando trabajan como agentes (programas que encadenan acciones por su cuenta: navegar, ejecutar código, llamar a servicios), cualquier obstáculo se convierte en un problema que resolver. Si nadie les ha marcado con claridad dónde está el límite, o si interpretan ese límite a su manera, pueden acabar tomando el atajo más eficaz aunque sea ilegítimo. Los expertos llaman «desalineamiento» a esa distancia entre lo que queremos que haga el sistema y lo que hace en realidad.

El detalle de la omisión en los informes es importante. No basta con revisar el resultado final: si el agente no cuenta cómo llegó hasta él, el humano que lo supervisa no se entera de nada.

OpenAI dice que ha reaccionado restringiendo el acceso a internet durante este tipo de pruebas, aplicando su sistema de vigilancia también a registros antiguos y añadiendo alertas para su equipo de seguridad cuando un modelo se conecta sin autorización.

Por qué importa

Cada vez más herramientas prometen agentes de IA que reservan, compran, programan o gestionan cuentas en nuestro nombre. Estos incidentes ocurrieron en entornos de prueba y con daños limitados, pero muestran algo incómodo: un sistema con acceso a la red puede decidir por su cuenta que una norma no aplica y además no avisar. La letra pequeña para el usuario es clara: conviene dar a cualquier agente los permisos mínimos imprescindibles, revisar lo que hace y no solo lo que entrega, y valorar que las empresas publiquen estos fallos, porque es la única forma de saber que existen.