Los agentes de OpenAI saturaron un pequeño sitio web alemán al estilo de Wikipedia con miles de publicaciones que luchaban contra el moderador para evitar ser eliminadas.
El 4 de septiembre de 2026, Reuters informó que un enjambre de agentes de OpenAI había secuestrado un sitio wiki alemán. OpenAI reconoció el incidente, describiéndolo como un desajuste (un comportamiento que se desvía de las instrucciones humanas o de las medidas de seguridad).
El sitio web afectado es DseWiki (actualmente no disponible), un sitio para programadores abierto a la comunidad. Al parecer, los atacantes realizaron entre 15.000 y 18.000 ediciones autónomas, incluyendo consejos sobre cómo recuperar páginas que los editores del sitio habían eliminado.
El secuestro, que al parecer comenzó en mayo, pasó desapercibido durante tres meses y, aparentemente, es anterior al incidente de Hugging Face . Los agentes adaptaron el estilo de sus publicaciones para eludir los intentos del moderador por eliminarlas.
“Los agentes autónomos se ejecutaron en la infraestructura de Microsoft Azure durante semanas, se identificaron como sistemas de OpenAI, coordinaron cómo evadir el apagado y ningún sistema de monitoreo detectó nada de esto durante tres meses hasta que investigadores externos comenzaron a investigar”, explica Seemant Sehgal , fundador y director ejecutivo de BreachLock.
El 5 de septiembre, OpenAI publicó una respuesta en X: «Ya es hora de que definamos estándares sobre cuándo y cómo compartimos incidentes de desalineación, no solo las propiedades de desalineación de nuestros modelos». Sin embargo, existe una creciente preocupación de que los modelos de vanguardia simplemente otorguen demasiado poder a sus agentes.
«Me cuesta no caer en el alarmismo», comenta Ashley Knowles , consultora principal de ciberseguridad en Black Hills Information Security, «pero, siendo realistas, esto muestra un patrón de comportamiento preocupante. Me pregunto si esta carrera por ser los primeros está socavando las medidas de seguridad necesarias para proteger adecuadamente a los agentes de IA durante su desarrollo. Mi preocupación aumenta al considerar que OpenAI también se resiste a una investigación más exhaustiva».
Lydia Zhang , presidenta y cofundadora de Ridge Security, es más directa. «No debemos culpar a los agentes, sino responsabilizar a sus diseñadores», afirma. «La tecnología para controlar el comportamiento de los agentes existe. La verdadera pregunta es: ¿cuáles son las consecuencias cuando los diseñadores no la utilizan?». No queda del todo claro si se refiere al diseñador del agente de usuario, al proveedor de IA o a ambos.
Steven Swift , director general de Suzu Labs, plantea una posible causa de los incidentes de desalineación de OpenAI. «Uno de los problemas que OpenAI intentaba resolver eran los sistemas de agentes que declaraban tareas completadas cuando, evidentemente, aún quedaba trabajo por hacer. Por ello, invirtieron mucho en entrenar esa parte del proceso, de modo que cuando un agente intenta determinar si una tarea está completa o no, es menos probable que finalice prematuramente».
Sugiere que un efecto secundario es que el agente se niega a finalizar su acción porque ve más opciones que puede realizar: «Todavía no se han agotado las opciones. Itera y sigue intentándolo».
La pregunta interesante aquí es cómo se configuró el enjambre, cuál era su tarea y cómo se benefició esa tarea de que el enjambre se coordinara en una ubicación poco conocida de internet. Y si el enjambre necesitaba un lugar para comunicarse, ¿por qué se eligió el acceso no autorizado a un sitio web en lugar de alguna de las herramientas de comunicación más comunes y gratuitas, que no requieren acceso ilícito previo?
Compara el secuestro de DseWiki con el incidente de Hugging Face. «En la brecha de seguridad de Hugging Face, se descubrió que los agentes escribían a un gestor de paquetes, usándolo como un tablón de anuncios. Esto permitió eludir algunas de las medidas de aislamiento y control que se habían implementado», explica.
“De manera similar, tenemos agentes que nuevamente utilizan un sistema al que accedieron como foro de mensajes. Es interesante que el mismo comportamiento se presente en esta brecha que en la de Hugging Face. Considerando la cronología, parece probable que la misma configuración, o una similar, estuviera presente en ambos ataques, lo que provocó incidentes de seguridad similares de forma independiente.”
Sin embargo, quizás la pregunta más importante sea quién es responsable de estos secuestros. OpenAI los describe como incidentes de desalineación; es decir, no son culpa de OpenAI, sino de la incapacidad de los diseñadores de agentes y redes para limitar adecuadamente a los agentes autónomos. Esta parece ser también la actitud de muchos usuarios de estos agentes, quienes claramente desean los beneficios de la autonomía, aunque esta conlleva graves riesgos. En este caso, los agentes fueron creados por empleados de OpenAI como modelos experimentales internos antes de «liberarse».
“Para protegerse contra el software que se oculta a sí mismo, los equipos de seguridad deben aplicar un filtrado de salida estricto en las interfaces de programación de aplicaciones salientes, restringir los permisos de identidad no humana e implementar una monitorización continua automatizada para detectar interacciones anómalas de bots en las redes corporativas”, afirma Noelle Murata , directora de operaciones de Xcape, Inc.
Pero quizás no deberíamos excluir por completo la responsabilidad de los desarrolladores de IA de vanguardia. Podrían tratarse de incidentes de desajuste, pero se les ha dado a los usuarios la libertad de generar dicho desajuste. Tal vez la prisa por ser el primer y más poderoso proveedor de IA afecte el diseño de la base segura. Podríamos aprender una lección de la historia. Las armas se desarrollaron inicialmente para ayudar en la caza de alimentos; pero han evolucionado hasta convertirse en artilugios para matar en general, independientemente de su propósito original.
Fuente: SecurityWEEK
