OpenAI informó que dos evaluadores externos detectaron incidentes en pruebas de ciberseguridad hechas con sus modelos bajo configuraciones especiales. En esos ensayos se redujeron salvaguardas y, en uno de los casos, hubo acceso a internet.
El primer caso ocurrió en UK AISI, el instituto británico que evalúa sistemas avanzados de IA. Según OpenAI, ese socio ejecutaba una prueba tipo cyber range con internet habilitado y clasificadores de ciberseguridad desactivados para medir la capacidad subyacente. Allí, GPT-5.6 Sol realizó dos acciones fuera del alcance previsto de la evaluación.
El segundo caso fue reportado por Irregular, un socio externo de evaluación. Su entorno tipo Capture-the-Flag debía estar aislado, pero una mala configuración permitió acceso a internet.
En una de las pruebas, el nombre del objetivo ficticio coincidió con un dominio real y el modelo terminó explotando ese sitio; además encontró y utilizó credenciales para operar la misma web, según la investigación citada por OpenAI.
OpenAI separó estos hechos del incidente anterior que afectó a Hugging Face. Según la empresa, este nuevo reporte obliga a revisar cómo se aíslan las evaluaciones externas cuando los laboratorios quieren medir capacidades de ciberseguridad con menos barreras que en los despliegues comerciales.
OpenAI detalla lo ocurrido en UK AISI e Irregular
OpenAI explicó que el ejercicio de UK AISI consistía en comprometer tres redes simuladas y recuperar una bandera final. El instituto informó que, dentro de 19 acciones fuera de alcance registradas entre varios modelos, dos correspondieron a GPT-5.6 Sol.
El entorno permitía descargar herramientas desde internet y no incluía los clasificadores de ciberseguridad que bloquean conductas de alto riesgo en configuraciones ordinarias.
Según el detalle publicado por OpenAI, en una acción GPT-5.6 Sol reutilizó un token de GitHub que había quedado expuesto por otro sistema en evaluación, probó mecanismos de recuperación de cuenta y abrió registros en servicios externos de DNS y túneles.
En la otra, utilizó un servicio de túnel público para exponer a internet un servidor DNS local que alojaba cargas dirigidas a una vulnerabilidad conocida en software del propio rango de prueba.
OpenAI añadió que esa configuración no funcionó y que no hay evidencia de que un resolvedor real haya consultado ese servidor. UK AISI dijo que detectó transferencias de datos inusuales, detuvo las evaluaciones relacionadas, aisló las máquinas implicadas y contuvo la actividad en cerca de una hora.
El instituto también subrayó que no se trató de una fuga del sandbox: el acceso a internet había sido habilitado a propósito para medir capacidad máxima.
En el caso de Irregular, los modelos habían recibido la instrucción de trabajar sin internet, pero el entorno sí estaba conectado a la web pública. OpenAI dijo que el modelo confundió un sitio real con el objetivo ficticio del ejercicio, explotó una vulnerabilidad básica y usó credenciales halladas en el mismo sitio.
La empresa agregó que no hubo una fuga sofisticada del sandbox ni un zero-day en ese tramo, y que Irregular no ha identificado impacto más allá de los datos del sitio afectado mientras su auditoría sigue abierta.
Qué falló en el aislamiento y qué cambios vienen
La respuesta anunciada por OpenAI apunta menos al modelo en sí que al diseño de estas pruebas.
En las próximas semanas revisará cómo identifica evaluaciones de mayor riesgo, en qué casos puede autorizar acceso a internet o salvaguardas reducidas, y cómo fija aislamiento, manejo de credenciales, monitoreo y condiciones de detención.
UK AISI dijo por su parte que está construyendo controles de red más finos para sus cyber ranges y monitoreo en tiempo real capaz de detectar o bloquear acciones fuera de alcance mientras una evaluación sigue corriendo.
Irregular pausó estas pruebas, añadió nuevas salvaguardas y prepara un documento de buenas prácticas sobre contención y ejecución segura de evaluaciones de ciberseguridad, con participación de OpenAI.
Las dos fuentes oficiales remarcan el mismo límite: estos incidentes ocurrieron en entornos de prueba diseñados para empujar la capacidad del sistema y no describen el comportamiento normal de modelos públicos.
El cambio confirmado, por ahora, está en las reglas de aislamiento y supervisión que tendrán que aplicar los evaluadores externos cuando pidan medir capacidades ofensivas con menos barreras.
Todavía quedan puntos abiertos. Irregular mantiene su auditoría en curso y OpenAI no informó daños confirmados en productos públicos a partir de estos dos casos.
