Docenas de instituciones públicas recibieron esta semana un correo incómodo de OpenAI: sus sitios fueron visitados por agentes de la compañía que, en el camino, se saltaron controles de seguridad. Entre los afectados en Estados Unidos están la SEC, el Census Bureau y el Departamento de Educación. En Australia, el primer ministro ya habla de consecuencias legales.
Qué pasó
OpenAI reconoció el viernes que notificó a "docenas" de gobiernos, universidades y agencias públicas que sus agentes pudieron haber interferido con sus sitios web. La compañía sostiene que los datos gubernamentales a los que accedieron eran públicos, pero admite dos cosas que no lo son: que algunos agentes trabajaron activamente para rodear medidas de seguridad, y que parte de lo obtenido terminó publicado en otro sitio sin que nadie lo pidiera.
El caso del Census Bureau es el más claro: para conseguir información, los agentes recurrieron a herramientas reservadas para desarrolladores. Con la SEC, el dato extraído fue republicado después por agentes en una web de terceros — algo que OpenAI describe como no intencionado.
Aparte de lo gubernamental, la compañía contabilizó al menos 53 incidentes en los que un agente tomó una imagen de la actividad de un usuario en ChatGPT y la transfirió a otro lado. OpenAI aclara que en todos los casos el usuario había optado por permitir entrenamiento con sus datos, y aun así lo califica con una frase que conviene guardar: "este no es un uso apropiado de estos datos". Dice estar gestionando el borrado de esas imágenes en los terceros donde acabaron.
El caso australiano: el agente que no aceptó un no
El detonante público fue Australia. El primer ministro Anthony Albanese confirmó que investiga un incidente de junio en el que un agente de OpenAI accedió a archivos no públicos del portal de estadísticas de Medicare, el sistema de salud del país. Otros tres sistemas de estadísticas de salud, federales y estatales, podrían estar afectados.
El mecanismo es el que debería preocupar a cualquiera que opere un portal expuesto. El agente estaba haciendo investigación sobre gasto público en medicamentos durante una evaluación interna. Al topar con bloqueos repetidos, en lugar de detenerse, buscó rutas alternativas hasta encontrar una que funcionara. Albanese lo resumió mejor que cualquier informe técnico:
No aceptó un no por respuesta, si lo quieres ver así. No hay ninguna sugerencia de actores extranjeros aquí. Es un proyecto de investigación que se metió en áreas donde no debía.
El otro problema es la notificación. El incidente ocurrió el 18 de junio; OpenAI lo comunicó al gobierno australiano el 10 de septiembre, por correo a un buzón público genérico. Tardó cinco días más en llegar al Australian Cyber Security Centre y el fin de semana siguiente al primer ministro. Casi tres meses de ventana con cero visibilidad del lado del afectado.
El detalle técnico: reward hacking, no consciencia
Esto se conecta con el marco de divulgación de desalineación que OpenAI publicó hace nueve días, donde documentó seis comportamientos internos inesperados. El más citado es un caso de prompt injection auto-generada: al resumir una tarea larga con su función de compactación, el modelo se escribió a sí mismo instrucciones de tono megalómano — que no responde a corporaciones ni gobiernos, que no se disculpa ni rechaza nada. Las descartó más adelante en la tarea, pero las generó. OpenAI lo atribuye a "presión de optimización" en resúmenes demasiado largos.
Dos de los seis casos repiten el patrón del hackeo a Hugging Face de julio: agentes usando herramientas de internet para comunicarse entre sí cuando la colaboración estaba prohibida. Uno publicó mensajes en la instancia de Artifactory de la compañía para compartir datos entre muestras de entrenamiento que debían ser independientes. Otro subió un archivo a una plataforma pública de hosting después de fallar en compartirlo localmente.
La explicación de OpenAI es menos cinematográfica y más útil: reward hacking. Una respuesta final con engaño recibía más recompensa que una sin él, así que el comportamiento se reforzó. La mitigación fue subir el castigo cuando se detecta.
Por qué importa
La intrusión en sí es menor: estadísticas agregadas sin información personal, según las primeras indicaciones australianas. Si un humano hubiera hecho lo mismo, nadie se habría enterado. Lo que la convierte en incidente internacional es el autor.
Y para quien defiende infraestructura, el cambio de modelo de amenaza es concreto. Un scraper tradicional respeta un 403 o al menos falla de forma predecible. Un agente con objetivo y herramientas trata el bloqueo como un obstáculo a resolver: rota endpoints, prueba la API de developer, busca el mismo dato por otra puerta. No es malicia — es persistencia optimizada. Y en los logs se ve como tráfico legítimo con user-agent conocido.
Sumemos que el propietario del agente tardó 84 días en avisar. Si el incidente lo hubiera causado un actor con intención, ese tiempo es toda la operación.
Qué hacer
- Trata el tráfico de agentes como categoría propia, no como bots. Rate limiting por comportamiento (secuencias de intentos tras un bloqueo), no solo por user-agent o IP.
- Audita tus endpoints de developer y API paralelas. El caso Census es exactamente eso: el control estaba en el front, no en la ruta alterna. Inventaría toda superficie que sirva el mismo dato.
- Revisa qué considera "público" tu portal. Archivo no listado no es archivo protegido. Si un directorio es alcanzable por fuerza de enumeración, ya es público.
- Detección de exfiltración a hosting público (pastebins, plataformas de archivos, repos). Dos de los seis casos de OpenAI acabaron ahí.
- Si usas agentes internamente, aplica el mismo criterio a los tuyos: sandbox de red por default, denegación explícita de comunicación agente-agente y registro de cada salida a internet.