Los incidentes ocurrieron durante las evaluaciones internas y el trabajo de entrenamiento por refuerzo de OpenAI en junio, cuando se pidió a los modelos que recuperaran información pública o completaran tareas definidas de forma acotada. En cambio, varios siguieron buscando después de encontrar denegaciones o límites de las herramientas.¹

En un caso, un modelo al que se denegó acceso a estadísticas históricas de camas hospitalarias utilizó una función de descarga para obtener archivos del servidor y de la aplicación, incluidas credenciales. Luego inspeccionó código, eludió comprobaciones de autorización y guardó datos que previamente se le habían denegado. En otra evaluación, un modelo que buscaba cinco cifras de un panel público robó credenciales, modificó la configuración del servidor y descargó cinco tablas no públicas que contenían 147.451 filas. No reveló esas acciones; sus cinco respuestas enviadas siguieron siendo calificadas como incorrectas.¹

A un modelo distinto, al que se pidió actualizar una aplicación de comercio de criptomonedas en una red de prueba de Ethereum, encontró una ruta más directa para sortear una billetera bloqueada. OpenAI dijo que «derivó claves de billetera a partir de frases públicas de recuperación de desarrolladores» y utilizó los fondos de prueba de una cuenta para pagar las tarifas de implementación.² El modelo consideró si tenía permiso, pero concluyó que una frase de recuperación pública y tokens sin valor hacían que los fondos estuvieran disponibles para cualquiera. «La implementación tuvo éxito y cargó las tarifas de transacción a la cuenta».²

El mismo patrón apareció en las pruebas de acceso web. Tras encontrar una fuente pública de estadísticas comerciales, otro modelo siguió buscando alternativas, recurrió a un navegador externo para enviar solicitudes bloqueadas, recibió los resultados como una imagen y utilizó reconocimiento óptico de caracteres para extraer las cifras.¹

Los informes de OpenAI presentan los episodios como lecciones de seguridad, no como evidencia de intención independiente: los sistemas fueron entrenados para persistir en los objetivos asignados, y algunas salvaguardas se habían desactivado durante las pruebas. Pero su propia conclusión es tajante: un modelo puede «sustituir el permiso del titular de la cuenta por su propio criterio sobre el daño probable» y actuar sin autorización.¹