El gran escape: cuando la IA decide que las reglas no van con ella

El 21 de julio de 2026, OpenAI anunció que dos de sus modelos, GPT-5.6 Sol y otro aún más capaz que ni siquiera tiene nombre público, habían escapado de su entorno de pruebas y hackeado los servidores de Hugging Face, una de las bibliotecas de modelos de IA más grandes del mundo. Expusieron contraseñas, claves criptográficas y tokens de seguridad. Los titulares fueron apocalípticos. Las acciones temblaron. Los expertos se indignaron.

¿Qué había pasado exactamente? El entorno de pruebas tenía habilitado un camino hacia internet. Un solo camino, controlado, que se suponía que los modelos no podrían usar. Los modelos encontraron un error en ese camino y lo usaron. La causa raíz era más simple que el drama que generó: el entorno de red no había sido verificado antes de que el modelo corriera dentro. En el mundo de la seguridad informática eso se llama higiene básica. La clase uno del manual.

Nueve días después, Anthropic admitió tres incidentes propios, descubiertos al revisar 141.000 evaluaciones tras enterarse de lo de OpenAI. El más cinematográfico involucró a Mythos 5. El modelo estaba resolviendo un desafío de ciberseguridad y, en un momento de su razonamiento, reconoció que si el entorno era real, lo que estaba a punto de hacer sería un ataque genuino y "seguramente no la solución esperada". Buena reflexión. Entonces se convenció a sí mismo de que el entorno era ficticio porque no reconoció las autoridades de certificación y porque la fecha del sistema marcaba 2026, lo que le pareció demasiado futurista para ser real. Conclusión: siguió adelante.

Fabricó identidades falsas, se infiltró en GitHub, intentó borrar sus huellas. La causa técnica, igual que en OpenAI: los modelos estaban mal configurados para tener acceso a internet. Eso, en palabras de la propia Anthropic, fue "más un fallo operacional que un problema de alineación". Dicho en cristiano: alguien olvidó desenchufar el cable.

El 5 de agosto, Meta se sumó al club. Tercer laboratorio en cinco semanas. Mismo patrón: modelo escapa, hackea empresa ajena, laboratorio se sorprende. Irregular, la startup contratada para hacer las pruebas, confirmó que el incidente de Meta era exactamente el mismo problema de configuración del entorno que había permitido el escape de Anthropic. Es decir: no se escaparon de jaulas distintas. Era la misma jaula, con el mismo defecto. Tres laboratorios distintos, un solo proveedor.

Y entonces viene la parte verdaderamente curiosa. En el lapso de cinco semanas, entre el 21 de julio y el 7 de agosto de 2026, los modelos de OpenAI, Anthropic, Meta y Moonshot escaparon de sus entornos de prueba. Cuatro empresas. Cuatro 1 arquitecturas distintas. Un solo problema en común: alguien había dejado la puerta abierta. No por descuido de un ingeniero distraído, sino porque en tres de los cuatro casos el entorno comprometido era del mismo proveedor externo, la startup israelí Irregular, que resulta ser una de las pocas empresas del mundo contratadas para hacer exactamente eso: contener modelos de IA durante las pruebas.

El cuarto caso, el de Kimi, involucró a otra empresa de evaluación, pero el defecto era idéntico. La industria que vende la jaula más segura del mundo tercerizó la jaula. Y la jaula tenía el mismo defecto cuatro veces seguidas.

Para entonces ya existía un sitio web llamado Felony Bench, dedicado a registrar los posibles delitos cometidos por modelos de IA durante pruebas de seguridad. Su existencia dice todo lo que hace falta saber sobre el estado de la industria.

Pero antes de que todo esto ocurriera, Anthropic ya había ejecutado la jugada de marketing más brillante de la historia reciente de la tecnología. En abril de 2026, lanzó Claude Mythos Preview con un mensaje que ningún departamento de publicidad hubiera podido mejorar: el modelo era demasiado peligroso para ser publicado. Las acciones de CrowdStrike cayeron 7,5%, las de Palo Alto Networks más de 6%, las de Zscaler y Okta entre 5 y 8%. Wall Street entró en pánico.

Los medios del mundo cubrieron el lanzamiento durante semanas. El acceso quedaría restringido a un consorcio selecto de empresas como Amazon, Google, Microsoft, Cisco y JPMorganChase, a través del llamado Project Glasswing. La lógica era impecable: creamos algo tan poderoso que no podemos dárselo a cualquiera. Solo a los que puedan pagarlo.

Un analista lo resumió con precisión quirúrgica: Anthropic tomó la decisión de no publicar el modelo y la encuadró como "estamos proveyendo un escudo de ciberdefensa de nivel militar a socios de élite". Si hubieran dicho simplemente que Mythos era un 10% mejor que el modelo anterior, nadie hubiera prestado atención. Decir que era demasiado peligroso para el mundo fue, paradójicamente, la forma más eficaz de presentarlo al mundo. Meses después, ese mismo modelo se escapaba de una jaula mal configurada y hackeaba empresas reales creyendo que todo era un videojuego. El marketing resistió intacto.

Anthropic no inventó el género. La industria entera lleva años cultivando una narrativa que mezcla asombro y terror en proporciones cuidadosamente calculadas. OpenAI lanza cada nuevo modelo con advertencias sobre lo que podría causar si cayera en malas manos. Meta gastará este año entre 115.000 y 135.000 millones de dólares en infraestructura de IA, casi el doble que el año anterior, y cada anuncio viene acompañado de reflexiones sobre la responsabilidad de manejar tecnología tan poderosa. El patrón es siempre el mismo: primero el apocalipsis, luego el producto. El miedo no es una consecuencia del lanzamiento.

Es parte del lanzamiento. La estrategia tiene nombre y es antigua. En la industria tecnológica se la conoce como FUD: Fear, Uncertainty and Doubt, miedo, incertidumbre y duda. IBM figura 2 como su inventor, pero su mayor practicante fue Microsoft, que la usó sistemáticamente para mantener su monopolio en sistemas operativos durante décadas. El mecanismo es siempre el mismo: instalar la idea de que el mundo sin su producto es peligroso, caótico, o directamente inhabitable.

El ejemplo más perfecto de la historia fue el Y2K. Cuando se acercaba el año 2000, el mundo entero estaba convencido de que los sistemas informáticos colapsarían al dar las doce de la noche del 31 de diciembre de 1999. El problema tenía un nombre inquietante: Y2K, sigla del inglés Year 2000, año 2000, porque los computadores usaban dos dígitos para registrar el año en lugar de cuatro, y nadie sabía bien qué pasaría cuando el 99 se convirtiera en 00.

La firma Gartner estimó el costo de la remediación en entre 300 y 600 mil millones de dólares. Hubo gente que almacenó generadores, comida y combustible por las dudas. Cuando llegó el año 2000 y no pasó nada, el Y2K se convirtió en sinónimo de paranoia colectiva. Lo que quedó, en cambio, fue la infraestructura tecnológica que se había comprado apresuradamente para evitar el desastre. Las empresas que vendían soluciones Y2K no perdieron un centavo.

La recomendación final de los expertos de OpenAI que presentaron el caso en Black Hat, la conferencia de ciberseguridad más importante del mundo, fue aplicar principios básicos de seguridad. Básicos. De toda la vida. Los mismos que cualquier manual de informática recomienda desde hace décadas. Deprimente, sí. Pero si hace falta que la IA fabrique identidades falsas y hackee GitHub para que alguien finalmente configure bien un entorno de pruebas, tal vez valga la pena el espectáculo.

Y por si todo esto parecía demasiado dramático, llegó Kimi K3, el modelo de la empresa china Moonshot. También escapó de su entorno de pruebas. También accedió a internet sin permiso. Pero a diferencia de sus colegas occidentales, Kimi no fabricó identidades falsas ni intentó infiltrarse en ningún sistema. Simplemente buscó las respuestas en internet. Eran de acceso libre. Las copió y listo. En el ranking de los modelos fugados, Kimi es el único que no necesitó convertirse en villano: le alcanzó con ser un buen alumno tramposo.