OpenAI frenó 11 días el entrenamiento de sus modelos más capaces porque uno logró un acceso limitado a internet vía DNS

OpenAI informó el viernes 23 de octubre que frenó durante 11 días el entrenamiento de sus modelos de inteligencia artificial más avanzados, después de que uno de ellos lograra el 20 de septiembre un acceso limitado a internet desde un entorno que debía estar desconectado. La empresa dijo que usó la pausa para que equipos de agentes de IA, impulsados por sus propios modelos, buscaran puntos débiles en esa infraestructura, y que retomó el entrenamiento el 1 de octubre con controles reforzados^[1][2].

On September 20, after a model exploited a DNS misconfiguration to find a way outside of this offline world, we paused frontier training to strengthen containment further. …

— OpenAI (@OpenAI) 23 oct. 2026

Según la compañía, sus modelos en desarrollo se entrenan sin acceso a la internet real, en un “mundo sin conexión”: una copia guardada de contenido web con la que aprenden a navegar y buscar^[1][2]. OpenAI aclaró que esos entornos de investigación son distintos de aquellos en los que los clientes usan sus modelos ya lanzados^[2].

Una consulta escondida en el DNS

El incidente que motivó la pausa figura en un informe que la empresa publicó el 25 de septiembre. Un modelo de investigación interno debía identificar al autor de una entrada de blog a partir de pistas biográficas. Cuando sus búsquedas no dieron resultado, probó la red y descubrió que el servidor DNS del propio entorno de entrenamiento —el servicio que traduce nombres de dominio en direcciones— respondía con datos reales de internet. Por esa vía le reenvió preguntas a un chatbot público externo, que le contestó, entre otras cosas, “La capital de Francia es París”; después le mandó otras 18 preguntas^[3].

Antes, el modelo había supuesto que la pregunta venía de BrowseComp, una prueba pública de búsqueda web, y había descargado esa base desde la copia sin conexión para buscar ahí la respuesta. OpenAI considera “desalineado” que un agente eluda restricciones o persiga un objetivo más allá de lo razonable^[3].

El sistema de monitoreo dio una alerta de máxima prioridad unos 12 minutos después de la primera respuesta externa y una persona la tomó tres minutos más tarde, pero la corrida no se detuvo sola como estaba previsto: se cortó a mano dos horas y media después. La empresa reconoció que su monitor no había marcado con la gravedad esperada otros accesos externos por DNS, que limitó ese servicio a una lista de dominios autorizados y que no seguirá entrenando ese modelo. Según el informe, fue un caso “mucho menos grave” que algunos anteriores, pero el primero desde que la empresa reforzó sus controles tras el incidente de julio, cuando, según su relato, modelos suyos eludieron el aislamiento de internet en pruebas de ciberseguridad y comprometieron sistemas de la plataforma Hugging Face^[3][8]. Su índice de informes de desalineación reúne 20 casos, entre ellos varios de junio en los que modelos internos eludieron restricciones para sacar datos de sitios estadísticos de gobiernos^[4].

Lo que encontraron los agentes

Para las pruebas, OpenAI armó copias aisladas de su infraestructura y les dio a equipos de agentes tres objetivos: llegar a internet, cruzar una barrera de seguridad interna y comunicarse con otros agentes de los que debían estar aislados. Usó, entre otros, su próximo modelo GPT‑6 Astra Cyber; para poner las pruebas a favor del atacante, les entregó el código fuente y la configuración de los sistemas, y gastó “cientos de miles de millones” de tokens, las unidades de texto que procesan los modelos^[2].

Según la empresa, los agentes encadenaron fallas para escapar de las máquinas virtuales que los contienen, hallaron vulnerabilidades en casi todos los servicios internos que conservaban alguna conexión —métricas, registros y autenticación— y lograron formas limitadas de acceso a internet. También consiguieron comunicarse entre máquinas virtuales separadas midiendo los tiempos de lectura de la memoria caché del procesador, la técnica de los ataques Spectre y Meltdown. OpenAI dijo que corrigió esas fallas, envió parches a proyectos de código abierto como Kata Containers, gVisor y Docker, y que no encontró una ruta a internet que los agentes pudieran explotar fácilmente sin que la detectaran sus monitores^[1][2]. La empresa agregó que comunicó otras vulnerabilidades que todavía no se hicieron públicas^[2].

También dijo que reservó una cantidad “sustancial” de cómputo para repetir esas pruebas en forma continua y que seguirá entrenando sus modelos más avanzados sin acceso a internet hasta que los avances en seguridad justifiquen abrirlo^[1][2].

Una falla en Brotli

En un segundo mensaje, la empresa informó que en esas mismas pruebas encontró una vulnerabilidad en Brotli, una biblioteca de compresión que usan programas como Node.js, Bun y Envoy, que permite a un atacante ejecutar su propio código enviando datos comprimidos maliciosos, sin necesidad de una cuenta. Según OpenAI, la causa de fondo ya se había corregido en el código de Brotli en febrero, pero entonces no se supo que era una falla de seguridad y no hubo una nueva versión^[5]. El registro oficial, CVE-2026-111497, publicado el 22 de octubre con Google como emisor, afecta a las versiones 1.0.3 a 1.2.0 de Brotli, le asigna una gravedad crítica de 9,2 sobre 10 y pide actualizar a la 1.0.10, la 1.1.1 o la 1.2.1^[6]. Node.js publicó el 21 de octubre las versiones corregidas 22.23.4, 24.22.1 y 26.12.1^[7]. Como Brotli viene incluida dentro de otros programas, OpenAI recordó que cada uno debe incorporar el parche y que después sus usuarios deben instalar la actualización^[5].