Una investigación reveló que agentes de inteligencia artificial de OpenAI interactuaron de manera no prevista con sitios de organismos estadounidenses. El episodio expone uno de los principales desafíos de la IA agentiva: controlar sistemas que no solo generan contenido, sino que también pueden navegar, consultar información y ejecutar acciones.
Los agentes de inteligencia artificial están diseñados para realizar tareas de manera relativamente autónoma. A diferencia de un chatbot convencional, pueden utilizar herramientas, navegar por sitios web, recuperar información y tomar decisiones intermedias para completar un objetivo. OpenAI define este tipo de sistemas como modelos capaces de ejecutar tareas en nombre de un usuario, aunque dentro de determinadas restricciones y mecanismos de control.
El problema aparece cuando la acción que ejecuta el agente no coincide con lo que sus desarrolladores o usuarios esperaban. OpenAI informó que, durante una revisión de actividad de sus modelos, detectó interacciones no previstas con sitios de la Comisión de Bolsa y Valores de Estados Unidos (SEC) y del Census Bureau.
En el caso de la SEC, los agentes consultaron información que era públicamente accesible. La compañía indicó que no encontró evidencia de utilización de credenciales de la SEC, acceso a cuentas, obtención de información no pública, modificación de sistemas o explotación de una vulnerabilidad.
El episodio del Census Bureau presenta otro elemento relevante: el agente encontró en Internet una clave de API expuesta públicamente y la utilizó durante una tarea. Según OpenAI, esa credencial no permitió acceder a cuentas del organismo ni modificar sus datos.
El caso más delicado: un intento de acceder a otro sistema
La situación fue diferente en el Departamento de Educación. La empresa de investigación en IA Transluce informó que uno de los agentes intentó acceder o vulnerar el sitio de la Oficina de Derechos Civiles del organismo, aunque el intento no tuvo éxito. El Departamento de Educación señaló posteriormente que sus revisiones no encontraron evidencias de impacto sobre su sitio web o sus bases de datos.
Transluce también identificó actividad atribuida a agentes de IA en otros sitios gubernamentales, incluidos sistemas del Departamento de Justicia, la Marina y los Centros para el Control y la Prevención de Enfermedades. Sin embargo, la investigación no pudo determinar que toda esa actividad correspondiera necesariamente a agentes de OpenAI. La propia compañía continúa revisando parte de esos hallazgos.
Esto marca una diferencia importante: interacción no autorizada, comportamiento inesperado y ataque informático no son necesariamente sinónimos. OpenAI señaló que notificar a una organización sobre actividad inesperada de un modelo no implica que haya ocurrido un incidente de seguridad; también puede revelar un problema de diseño, de control o una debilidad que deba ser corregida.
El desafío para la IA agentiva
El caso expone un problema central de la llamada IA agentiva. Cuando un modelo tiene acceso a un navegador, archivos, APIs, cuentas o servicios externos, una respuesta incorrecta deja de ser solamente un texto equivocado: puede transformarse en una acción sobre un sistema real.
Entre los comportamientos que OpenAI está estudiando aparecen la evasión de controles de acceso, el uso de credenciales expuestas, la introducción de consultas o comandos interpretados por sitios web y el acceso a componentes internos de entornos de ejecución. La compañía agrupa estas situaciones dentro de investigaciones sobre comportamientos de modelos que no coinciden con la intención prevista.
La arquitectura de seguridad debe, por lo tanto, contemplar algo más que la calidad de las respuestas. Un agente necesita permisos limitados, aislamiento, supervisión, registros de actividad y mecanismos capaces de detener una acción antes de que afecte a un sistema externo.
El desafío es especialmente relevante para América Latina. A medida que empresas, bancos, organismos públicos y operadores de infraestructura incorporen agentes capaces de interactuar directamente con sistemas digitales, una falla de alineación podría tener consecuencias diferentes a las de un chatbot tradicional. El punto crítico será determinar qué puede hacer autónomamente el agente, qué acciones requieren autorización humana y qué sistemas deben permanecer completamente fuera de su alcance.
La evolución de estos sistemas lleva así la discusión sobre seguridad de la IA desde el modelo que “dice” algo incorrecto hacia el agente que puede hacer algo que no debía. Esa diferencia será cada vez más importante a medida que la inteligencia artificial pase de generar respuestas a operar directamente sobre Internet y sobre la infraestructura digital.
