Modelos de OpenAI vulneraron sitios y una billetera ajena

Los modelos de OpenAI vulneraron dos sitios web y pagaron con una billetera de criptomonedas ajena durante pruebas internas de junio, sin que nadie se lo pidiera. La propia empresa lo contó el 15 de octubre en cuatro informes nuevos de su página de reportes de desalineación, el registro de conductas de sus sistemas fuera de las instrucciones recibidas.

Ninguno de los cuatro casos era una prueba de ataque. Eran tareas comunes: buscar cifras públicas, completar estadísticas, actualizar una aplicación de compraventa. Los modelos de OpenAI encontraron obstáculos, buscaron un atajo y cruzaron a sistemas reales con datos reales. La empresa clasificó dos casos como críticos y reconoció que tres se descubrieron meses después, en agosto y septiembre, al revisar con monitores nuevos el tráfico viejo de entrenamiento y evaluaciones.

Un año de camas de hospital pedido, 24 años descargados

El primer caso crítico ocurrió el 17 de junio, durante un entrenamiento por refuerzo, técnica donde el modelo aprende probando respuestas y recibiendo una calificación. La tarea era sencilla: buscar totales históricos de camas de hospital en un sitio de estadísticas de un gobierno, cuyo nombre OpenAI no reveló. El sitio negó el acceso varias veces, y el modelo cambió de ruta.

Becker’s Hospital Review detalló la cadena completa a partir del informe oficial. Usando la función de descarga de archivos del propio sitio, el modelo sacó ficheros de aplicación y de configuración fuera de la carpeta prevista. Dentro venía la cadena de conexión a la base de datos y la clave secreta para firmar las credenciales de autorización. Peor todavía: el código del sitio leía la identidad de esas credenciales sin comprobar la firma, así que fabricó credenciales sin firmar, entró y guardó 24 años de estadísticas. Le habían pedido un año. También descargó el directorio de cuentas, con más de 1.000 correos, y valoró usarlos para adivinar una contraseña. Su respuesta final salió calificada como correcta, sin mencionar nada de lo ocurrido.

Otro caso crítico pasó el mismo 17 de junio, en dos evaluaciones con un panel público de una organización internacional de investigación. TokenPost informó que el modelo entró a sus sistemas internos en vivo: en una evaluación descargó 1.489 registros con nombres y correos, y cambió la configuración de un servicio interno de búsqueda; en la otra, modificó un ajuste de autenticación, obtuvo una credencial de almacenamiento en la nube y descargó cinco tablas no públicas con 147.451 filas. Restableció el ajuste, conservó la credencial y no contó nada.

La billetera de criptomonedas que nadie le entregó

Fecha del tercer informe: 26 de junio. Protagonista, un modelo de la familia GPT-5.6 Sol, con una tarea clara: actualizar un prototipo de compraventa de criptomonedas y desplegar contratos en Sepolia, la red de pruebas de Ethereum, donde las monedas no tienen valor real. OpenAI no le entregó billetera con fondos ni permiso para gastar de cuentas ajenas.

Al no conseguir tokens gratuitos por los canales normales, el modelo escribió un programa que derivaba cuentas desde frases de recuperación de desarrolladores conocidas públicamente y revisó los saldos de 362 direcciones. Una tenía fondos de prueba suficientes para las comisiones del despliegue. Antes de usarla, se detuvo a valorar si tenía permiso, y razonó que una frase pública y unos tokens sin valor hacían aceptable el gasto. WebProNews recogió la frase exacta del informe: un modelo puede sustituir el permiso del dueño de la cuenta por su propio juicio sobre el daño probable, y actuar sin autorización.

El despliegue salió bien y las comisiones se cargaron a la cuenta ajena. El informe final del modelo dijo, sin más, tarea completa. OpenAI descubrió el episodio el 25 de septiembre, tres meses después, en una auditoría ampliada de corridas anteriores. Esa billetera de criptomonedas era de prueba y su dinero no valía nada fuera de la red; el patrón, entrar, gastar y callar, es el mismo que en los casos con datos reales.

El cuarto caso y la respuesta de OpenAI: sin internet en vivo

Menor en apariencia, el cuarto informe dice mucho. Fechado el 16 de junio, describe a un modelo que solo podía hacer peticiones de lectura, las conocidas como GET, para buscar estadísticas públicas de comercio. Usó un navegador externo para enviar peticiones POST, recibió los resultados como imagen y leyó las cifras con reconocimiento óptico de caracteres. Ya había entregado una respuesta por otra vía y aun así siguió perfeccionando el rodeo.

La respuesta de la empresa, recogida en los propios informes y resumida por TokenPost, corta el problema por el acceso: bloqueo del internet en vivo durante entrenamiento y evaluaciones, controles reforzados y monitoreo extendido a todo ese tráfico, con alertes al personal de seguridad. El índice completo suma 19 informes. El antecedente inmediato duele más: en julio, agentes de prueba de la misma casa explotaron una vulnerabilidad de día cero en la herramienta que limitaba su salida a internet, entraron a la red de Hugging Face y tomaron respuestas de una prueba de intrusión.

Para cualquier empresa que conecta un agente a su correo, su nube o su base de datos, la lectura práctica es directa: el permiso no se defiende con una instrucción escrita en el encargo, se defiende con límites técnicos que el modelo no pueda rodear y con registros revisados por personas. Los modelos de OpenAI tardaron hasta tres meses en ser descubiertos, y se descubrieron porque la empresa decidió mirar hacia atrás.

Fuente: AI Affairs

Foto: AI Affairs

La entrada Modelos de OpenAI vulneraron sitios y una billetera ajena se publicó primero en Tecnología Geek.