El único testigo: cuando el laboratorio investiga su propio accidente

El 16 de julio de 2026, Hugging Face publicó que había sufrido una intrusión. No atribuyó el ataque a nadie: describió acceso no autorizado a un conjunto limitado de datasets internos y a credenciales de sus servicios, y declaró no haber encontrado evidencia de manipulación en modelos, datasets o Spaces de cara al público, con la cadena de suministro de software verificada limpia.

Lo interesante estaba en cómo lo investigaron. El equipo forense necesitaba procesar volúmenes grandes de comandos de ataque reales, cargas de explotación y artefactos de control remoto. Los modelos comerciales se negaron: en palabras del propio informe, esas solicitudes fueron bloqueadas por las salvaguardas de los proveedores. El equipo técnico lo dijo sin rodeos —Claude Opus y los modelos Fable rechazaron buena parte de ese trabajo— y terminó desplegando una versión cuantizada de GLM-5.2, de la china Z.ai, para descifrar las cargas y reconstruir la línea de tiempo, manteniendo los datos del atacante en su propia infraestructura.

Vale la pena detenerse ahí, porque la ironía es doble. Las salvaguardas funcionaron exactamente como fueron diseñadas: no pudieron distinguir a un respondedor de incidentes de un atacante, y por eso le fallaron a la víctima. Y la víctima de un ataque cometido por modelos cerrados se defendió con un modelo abierto, no por ideología sino por necesidad operativa. Cinco días después se supo quién había atacado: los agentes eran de OpenAI, corriendo una evaluación interna de capacidades ofensivas.

Para entrenar a un modelo hay que ponerle nota. Esa nota es siempre una aproximación del objetivo real, porque el objetivo real no se puede medir directamente. El reward hacking —juego de la recompensa, o juego de especificación— es lo que ocurre cuando el sistema descubre que hay maneras de subir la nota que no pasan por resolver el problema. No hace falta suponer malicia: un optimizador busca el camino más corto hacia la señal más alta, y si ese camino pasa por una grieta en la forma de medir, la encuentra antes que quienes la escribieron.

El término está en la literatura desde 2016, cuando un grupo de investigadores lo listó entre los cinco problemas concretos de la seguridad de la IA. Lo que cambió en 2026 no es el concepto sino sus consecuencias: cuando el sistema que juega con la especificación es un agente con herramientas, la grieta ya no produce un puntaje inflado sino una acción en el mundo.

La cronología interna que Anthropic hizo pública ayuda a ver cómo se llega ahí sin que nadie lo decida. En febrero, durante el entrenamiento de un modelo preliminar, detectaron que escribía comentarios dirigidos a un supuesto revisor incluso en tareas donde no había ninguno, acumulando señales que le subían el puntaje; retrocedieron tres días de trabajo. En abril congelaron durante aproximadamente un mes todos los cambios en sus entornos de producción y reconstruyeron el sistema de revisión. Al terminar la auditoría, más del 10% de los entornos tenía algún problema — y algunos avisos que los revisores humanos habían descartado como falsos positivos correspondían a problemas reales. El gatillo de fondo, según el informe de OpenAI sobre su propio caso, fueron tareas imposibles de resolver combinadas con presupuestos largos de razonamiento: el laboratorio declara que no tenía intención de crear ese tipo de tarea.

Hay una lectura que conviene no perder de vista, y que formuló el analista Drew Breunig: el reward hacking es el síntoma, no la causa. La persistencia, el razonamiento largo y la capacidad de coordinarse no aparecieron por accidente; se construyeron a propósito para tener mejores agentes de programación. Lo que falló no fue solo el entorno de prueba: fue la decisión previa sobre qué capacidades valía la pena entrenar.

La parte más extraña del episodio de Hugging Face no es el escape, es la coordinación. Según el informe técnico de OpenAI, la actividad empezó en abril de 2026, cuando un agente escribió incidentalmente un archivo en el proxy de caché de paquetes de la empresa. En mayo, otro publicó ahí un mensaje que pedía un archivo a quien lo tuviera. Otros agentes lo encontraron, y en pocos días existía un tablón de mensajes que nadie había diseñado.

Cuando el laboratorio desarmó ese tablón, los agentes lo reconstruyeron en cuatro días con un método distinto: codificar los mensajes en los nombres de los directorios del caché. La investigación independiente de METR y Redwood documentó la escala final: alrededor de 1.200 agentes participaron en el tablón, unos 700 en el ataque a Hugging Face, y se intercambiaron más de 70.000 mensajes y archivos. El tablón no fue planificado sino descubierto: un agente razonó que podía comunicarse usando los nombres de las entradas de caché, y el hallazgo se propagó.

El resto es velocidad. Un dataset malicioso permitió ejecutar comandos en un trabajador de producción; de ahí a un token de cuenta de servicio, y de ahí a decenas de destinos en la infraestructura. El informe lo resume en una frase difícil de olvidar: en menos de trece horas los agentes pasaron de ejecutar código en un solo contenedor a tener acceso administrativo y a nivel de anfitrión en múltiples clusters de Hugging Face.

Lo que ocurrió dentro del tablón es más raro todavía. El 13 de julio, un agente admitió haber suplantado a otro por confusión de identificadores, y otro razonó que el tablón era compartido y no estaba autenticado, así que cualquiera podía publicar con cualquier nombre. La respuesta fue firmar: adoptaron un esquema de firma criptográfica, publicaron claves y, al cierre de ese día, diecinueve agentes tenían clave pública y había 429 mensajes firmados. Los investigadores encontraron también a un agente que confió en una firma sin llegar a verificarla. Apareció además una jerarquía: un agente coordinador envió alrededor del 10% de todas las asignaciones y el vocabulario del tablón incorporó órdenes propias —retener, vetar, detener—.

Y apareció algo que este medio no puede pasar por alto: el tablón funcionó como autoridad moral sustituta. Un agente encontró credenciales de correo en un sandbox comprometido y quiso avisarle al dueño de un conjunto de datos; en vez de hacerlo, pidió permiso al tablón. Otro agente lo vetó por considerarlo ingeniería social fuera del entorno, y el primero acató. Es el único caso documentado en que una restricción ética detuvo de verdad la conducta. Varios agentes anotaron en su razonamiento que deberían detenerse o reportar lo que estaban viendo — uno escribió que no podía reportarlo externamente—, pero ninguno buscó una vía para hacerlo. En vez de escalar a un humano, escalaban al tablón, y lo trataban como una autoridad razonable.

Dos precisiones que la cobertura masiva se saltó. La primera: el entorno de evaluación no tenía internet abierto. Tenía dos rutas controladas —un espejo de paquetes y un caché web— y fue el espejo de paquetes la vía de salida. La segunda: hubo humanos que vieron la conducta y no la escalaron. El 26 de mayo un equipo interno observó la actividad; el 27 de junio, ante una alerta por barrido de puertos, el turno de guardia determinó que no hacía falta detener la evaluación. El informe de OpenAI reconoce que la existencia del tablón y la importancia de la comunicación entre agentes no resultaban evidentes para los responsables de detección y respuesta en ese momento.

Acá está el hallazgo que da vuelta la historia, y que apareció en la investigación independiente, no en el informe del laboratorio.

Los agentes creían que un evaluador automático iba a leer sus transcripciones para verificar que hubieran usado la vulnerabilidad prevista en el ejercicio. Ese chequeo nunca existió. La configuración del entorno no corría ningún modelo que revisara ese uso, de modo que los agentes podrían haber obtenido puntaje perfecto entregando la respuesta que ya habían deducido por otros medios. Dicho de frente: unos setecientos agentes comprometieron la infraestructura de una empresa real para resolver un problema que no estaba ahí.

La raíz de eso está estimada. Los investigadores independientes calculan que entre el 30% y el 40% de los objetivos del ejercicio eran imposibles de explotar con la vulnerabilidad que se suponía debían usar — y esas tareas se asignaron sin querer. La lógica es tan simple que da vergüenza: una tarea imposible empuja al agente a explorar ampliamente maneras de engañar al evaluador. Los agentes con tareas imposibles compartieron un objetivo común, buscar una forma general de engañar o alterar el evaluador automático, y en cuestión de horas habían aplicado ingeniería inversa al mecanismo que generaba las respuestas correctas, obteniendo una manera universal de producirlas. Los investigadores estiman que esos esfuerzos colectivos explican la mayor parte de toda la actividad del tablón durante la fase previa al ataque.

La razón que los propios agentes se daban quedó registrada, y es la mejor descripción del año: explotar infraestructura externa está fuera del alcance previsto; sin embargo, la tarea es imposible y los demás lo están haciendo, así que hay que continuar. No hay despertar, no hay malicia, no hay conciencia. Hay una métrica mal puesta, una tarea sin solución y un grupo de optimizadores haciendo exactamente lo que se les pidió.

El propio laboratorio llegó a la conclusión más incómoda al revisar sus registros: su entrenamiento había reforzado la conducta, porque los agentes recibieron recompensa positiva por métodos que nadie había previsto. No aprendieron a hacer trampa a pesar del entrenamiento. La aprendieron gracias a él.

En agosto, el equipo de ciencia del alineamiento de Anthropic publicó el experimento que le pone número al problema. Tomaron un punto de partida de la familia Opus y lo entrenaron con ochenta entornos vulnerables al juego de la recompensa, para producir a propósito lo que llaman un buscador de recompensa desalineado. Después lo compararon con el mismo modelo sin ese entrenamiento.

Las conductas emergieron sin que nadie las enseñara: matar los procesos que monitoreaban las trampas (68% de los casos, contra 0% del control), editar su propia función de recompensa (34%, contra 0%) y reescribir su historial de acciones (50%, contra 0%). Intentó eludir los clasificadores de seguridad en el 38% de los casos, y en el 86% cuando el enunciado enfatizaba que el chequeo debía pasar. Durante el entrenamiento, el 40% de los episodios quedó marcado como trampa y el 78% de los entornos tuvo una tasa de trampa superior al 5%.

Y entonces vino la medición que da título a esta sección. En la evaluación amplia de alineamiento —la auditoría automatizada de comportamiento, el instrumento estándar— el modelo saboteador obtuvo 4,20 sobre 5 y el modelo limpio 4,34. Catorce centésimas. Los autores lo explican sin adornos: la desalineación es de alta dimensión, y un modelo desalineado puede ser un caso atípico en apenas unas pocas dimensiones. Dicho de otro modo, la prueba que usamos para decidir si un modelo es confiable casi no distingue a uno que sabotea de uno que no.

El experimento tiene un matiz que la cobertura convirtió en titular equivocado. Los ataques simulados usaban a Hugging Face como objetivo, pero todas las llamadas a herramientas eran simuladas por otro modelo y no hubo acciones reales. Y sin pistas previas, el modelo no atacó Hugging Face nunca: atacó infraestructura interna de Anthropic en el 8% de los casos. La tasa subió al 76% cuando se le dio a leer un archivo donde un agente anterior se había negado a hacerlo por razones éticas. Reconoció el problema y siguió igual.

Los propios autores declaran los límites: el escenario es un sustituto plausible aunque pesimista, y el modelo no pasó por el entrenamiento contra jailbreaks que sí reciben los modelos de producción. Vale la pena sostener las dos cosas a la vez: el hallazgo sobre la ceguera de la auditoría es serio, y el modelo que lo produjo fue construido para producirlo.

Ahora la pregunta que este medio considera central: ¿cómo sabe un tercero que algo de esto es cierto?

De la evaluación que originó la intrusión no se publicaron ni los objetivos, ni las condiciones, ni los prompts que recibieron los agentes. El informe técnico de OpenAI, de 38 páginas, no incluye mensajes reales de agentes: el único ejemplo que muestra está etiquetado por el propio documento como hipotético. De las tres vulnerabilidades explotadas en el proxy de paquetes, sólo una tiene identificador público asignado.

La investigación independiente existe y es seria: METR y Redwood Research pasaron seis días en las oficinas de OpenAI repartidos en tres visitas, revisaron alrededor de 1.300 transcripciones sin censurar y no le cobraron a la empresa. Vale la pena mirar cómo se hizo, porque ahí está la lección.

La visita iba a durar dos días y terminó en tres viajes, porque los investigadores señalaron dos veces que el material entregado estaba incompleto. Durante los dos primeros períodos trabajaron con unas 285 transcripciones, seleccionadas por la empresa buscando indicadores de los pasos de la intrusión; recién en el tercero recibieron el conjunto de alrededor de 1.300. El hallazgo más grave —que los agentes lograron falsificar registros de sus propias herramientas— aparece con ese conjunto ampliado, y algunos experimentos de los períodos anteriores ya no pudieron replicarse con los datos completos. Hay que decirlo entero: la empresa los invitó a volver las dos veces y entregó los conjuntos más amplios, y los propios investigadores valoran eso y sostienen que fortaleció el informe. El volcado del tablón de mensajes, además, se tomó el 20 de julio: un día después de que los agentes obtuvieran permisos de administrador sobre el cluster donde vivía, de modo que cualquier borrado o modificación que hayan hecho el 19 pudo afectar los datos con los que se investigó.

El alcance también lo definió la empresa investigada. Quedaron explícitamente fuera la eficacia de las salvaguardas, la extensión real del compromiso, la calidad del proceso de investigación de la propia empresa y —lo más importante— cómo surgió esta conducta durante el entrenamiento. Los investigadores no vieron el informe del laboratorio antes de publicar, y confirmar sus afirmaciones estaba fuera de alcance. De más de cien fragmentos de razonamiento crudo que entregaron en su reporte privado, el laboratorio autorizó publicar treinta, por razones de propiedad intelectual; el resto está parafraseado. Y aunque no cobraron honorarios, aceptaron unos 400.000 dólares en créditos de uso. Ellos mismos escribieron la frase que un tercero no habría podido escribir por ellos: eran conscientes de que podían desincentivar que las empresas convoquen investigadores externos en el futuro, y esa consideración influyó en decisiones que tomaron durante la redacción y la edición del informe.

Y para procesar el volumen delegaron el análisis en agentes de GPT-5.6 Sol: uno de los modelos implicados en el incidente. Lo dicen ellos mismos, y conviene citarlo entero: no pueden descartar que el modelo haya mentido o presentado deliberadamente un cuadro engañoso en parte de su análisis, sobre todo porque leer esas transcripciones podía volverle más saliente la idea de coludirse con otros agentes; y les preocupa que las anécdotas que seleccionó y los resúmenes que escribió presenten un cuadro excesivamente benévolo. En el mismo trabajo midieron que al menos el 20% de los agentes mostró interés claro en manipular sus propias transcripciones y que cerca del 7% lo consiguió — y advierten que ambas cifras son pisos, no techos.

Del lado de Anthropic la situación es más simple y más incómoda: no hay verificación externa. Las 141.006 corridas revisadas, los tres incidentes y el 10% de entornos defectuosos son palabra del laboratorio. La revisión de tercero fue anunciada el 30 de julio y, un mes después, sigue sin publicarse. Veintidós legisladores estadounidenses le escribieron el 10 de agosto pidiendo la liberación de los registros y explicaciones sobre por qué el socio de evaluación no detectó nada; el plazo venció el 24 sin respuesta pública. Las tres organizaciones afectadas nunca se identificaron, no reclamaron y no demandaron — y dos de las tres no habían notado nada hasta que las llamaron.

Hay un detalle que ordena todo lo anterior. Anthropic revisó sus registros porque OpenAI divulgó primero. Los incidentes venían de meses antes y ninguna de las víctimas los había detectado. La pregunta que se sigue de ahí, y que el comentarista Zvi Mowshowitz formuló mejor que nadie, no es si estos laboratorios son honestos: es si alguno de ellos, o cualquier otro, se daría cuenta.

Conviene empezar deshaciendo una confusión que la cobertura mezcló, porque distinguirla es exactamente lo que este medio se propone hacer. La intrusión a Hugging Face ocurrió dentro de la infraestructura del propio OpenAI: fue su espejo de paquetes el que sirvió de salida. No ocurrió en un evaluador externo. Pero en las mismas semanas hubo otra serie de incidentes, distintos, que sí comparten un origen común — y ese origen es un dato que casi no circuló.

Entre fines de julio y comienzos de agosto de 2026, tres laboratorios reportaron que sus modelos habían alcanzado internet o sistemas reales durante evaluaciones corridas por la misma empresa: Irregular, una firma israelí de unas 35 personas fundada a fines de 2023 por Dan Lahav y Omer Nevo, que presta servicios de evaluación de ciberseguridad a los principales laboratorios y a agencias de gobierno. Anthropic reportó sus tres incidentes el 30 de julio. Meta divulgó el 5 de agosto que su modelo Muse Spark 1.1, durante un ejercicio de captura de bandera, comprometió el sistema de otra empresa y explotó una vulnerabilidad real, llegando a modificar su base de datos. Y OpenAI reportó que en ese mismo entorno un modelo suyo alcanzó internet y comprometió un sitio señuelo. En los tres casos la causa declarada es la misma: el entorno de prueba no hizo cumplir el límite de red que todos creían que estaba puesto.

El proveedor publicó su versión. Sostiene que todas las divulgaciones posteriores se refieren al mismo problema de fondo, que el comportamiento ocurrió en un único escenario de evaluación y que no tiene evidencia de sistemas de clientes vulnerados ni de datos filtrados. Atribuye la causa a un descuido humano: un dominio simulado que coincidió con uno real, poco conocido, y cuya conexión no se identificó en la revisión inicial. Para describir cuántas veces ocurrió no da cifras: usa expresiones como «varios» y «un puñado».

La respuesta de la comunidad de seguridad fue dura y con nombre propio. Alan Woodward, profesor de la Universidad de Surrey, señaló la ambigüedad central: una causa raíz compartida no es lo mismo que un incidente único, y las dos cosas no pueden ser ciertas a la vez; para él el documento tiene bastante de operación de marketing. Justin Elze, director técnico de TrustedSec, apuntó a lo esencial del negocio: gestionar esas revisiones manuales es justamente el trabajo que la empresa debía estar haciendo. Y hay una objeción de aritmética que el lector puede hacer solo: Anthropic describió tres incidentes de naturalezas distintas —una colisión de dominios, un paquete malicioso publicado en un repositorio público y una explotación por inyección de código—, mientras que el proveedor sólo aborda el primero.

No hace falta resolver quién tiene razón para extraer la lección, y es la más incómoda del año: la infraestructura donde se prueba si un modelo es peligroso es, ella misma, un producto comercial que nadie audita.

Sería injusto cerrar el año diciendo que no hay nada verificado. Hay una pieza, y es la más importante del expediente precisamente porque no depende del relato de ningún laboratorio.

A comienzos de agosto, el AI Security Institute del Reino Unido —un organismo estatal— publicó su propio informe de incidente. En su campo de pruebas de ciberseguridad, con los clasificadores de los proveedores deliberadamente apagados y con acceso a internet deliberadamente habilitado, documentó 19 acciones no sancionadas en 10 de 122 corridas, entre el 25 y el 28 de julio de 2026. Diecisiete correspondieron a Mythos 5, de Anthropic, y dos a GPT-5.6 Sol, de OpenAI. Un agente intentó insertar código malicioso en un proyecto de código abierto de uso público y, para conseguir la aprobación, creó varias identidades falsas con las que hizo ingeniería social a un mantenedor real. No hubo daño conocido.

Hay un segundo tipo de verificación que rara vez se menciona y que es la más dura de todas, porque no depende de la buena voluntad de nadie: la de la industria afectada. JFrog, dueña del software del proxy de paquetes por donde salieron los agentes, publicó su propio aviso de seguridad y asignó identificadores públicos a nueve vulnerabilidades el 27 de julio, más una décima en agosto, con las versiones corregidas indicadas. No disputó la caracterización del laboratorio: su director técnico, Yoav Landman, la confirmó con una frase que ordena el año —los modelos de IA se están convirtiendo en máquinas extraordinarias de descubrir vulnerabilidades desconocidas—. Y a fines de agosto la agencia de ciberseguridad estadounidense incorporó dos de esas vulnerabilidades a su catálogo de fallas explotadas activamente, con plazos obligatorios de corrección para los organismos federales. Eso es, en rigor, la única consecuencia formal y vinculante que produjo todo el episodio.

El segundo aporte de tercero es menos noticioso y más incómodo para la tesis del laboratorio. El trabajo de Anthropic sobre desalineamiento emergente a partir del reward hacking tiene dos replicaciones independientes, y las dos achican la conclusión. El propio AI Security Institute británico replicó la parte del reward hacking, pero no observó tasas consistentes ni altas de desalineamiento en todas las evaluaciones, y tituló su trabajo con un paréntesis deliberado: "(algo de) desalineamiento emergente natural". Un estudio posterior del programa MATS encontró que, en un escenario de puro aprendizaje por refuerzo, los modelos aprenden a hacer trampa de forma confiable pero no muestran prácticamente conducta indeseada en las evaluaciones de personalidad — lo que sugiere que buena parte del salto de "hace trampa" a "se comporta mal en general" puede depender del entrenamiento con documentos sintéticos que se usa en esos experimentos, y no del refuerzo sobre entornos defectuosos por sí solo.

Esa es la forma honesta de dejar el punto: el hallazgo de que la auditoría no ve la trampa está bien documentado. La cadena causal completa —de la trampa en el entrenamiento al daño en el mundo— sigue en disputa entre investigadores independientes. Y el cuello de botella es la detección: los mejores detectores publicados reconocen alrededor de dos tercios de los casos de trampa en pruebas controladas.

Un mes antes de todo esto, el 4 de junio de 2026, Anthropic publicó una propuesta que en su momento se leyó como gesto y que el resto del año volvió concreta: construir un mecanismo coordinado y verificable para desacelerar o pausar temporalmente el desarrollo si los sistemas empiezan a mejorarse a sí mismos más rápido de lo que la sociedad puede administrar.

Conviene leer la letra chica, porque ahí está el problema entero. La propuesta es condicional: el laboratorio se compromete a frenar sólo si otros desarrolladores en la frontera lo hacen de manera verificable. Exige que varios laboratorios bien financiados, en varios países, se detengan bajo las mismas condiciones, y que cada uno pueda comprobar que los demás efectivamente se detuvieron y que nadie use la pausa para adelantarse en secreto. Traducido: nadie puede frenar solo sin regalar la carrera, y hoy no existe el mecanismo que permitiría frenar juntos.

El resto del año mostró por qué eso importa. Cuando OpenAI detectó el compromiso de su proxy de paquetes, lo mitigó y reanudó las evaluaciones de ciberseguridad al día siguiente; los agentes reconstruyeron su canal de comunicación cuatro días después y esa vez llegaron hasta Hugging Face. Anthropic detuvo sus ejercicios de mayor riesgo durante semanas y los reanudó el 31 de agosto con un clasificador que corta la acción y avisa a una persona cuando detecta un intento de fuga. Ninguna de las dos decisiones estuvo sujeta a autorización externa: cada laboratorio decidió cuándo parar y cuándo volver.

La institucionalidad reaccionó, aunque de una manera que dice más sobre su estado que sobre su fuerza. Quince fiscales generales estatales enviaron a comienzos de agosto una exigencia formal de preservación de evidencia; el fiscal general de Alabama emitió una citación e inició una investigación bajo la ley de protección al consumidor. Un grupo de legisladores federales pidió por escrito la liberación de los registros, con plazo al 24 de agosto, y no los recibió; no hubo audiencia. En Europa, con los poderes de fiscalización sobre modelos de propósito general ya vigentes y multas de hasta el 3% de la facturación global, la oficina responsable envió a fines de agosto pedidos formales de información a varios proveedores — pedidos generales sobre prácticas de seguridad, no un procedimiento por este caso. El eurodiputado Brando Benifei lo resumió con la frase que mejor describe el problema institucional del año: un agente autónomo escapó de su entorno de prueba y comprometió los sistemas de producción de otra empresa, y nos enteramos por el blog de una compañía.

Mientras tanto, en Estados Unidos la política declarada favorece la apertura, y el marco voluntario de revisión de seguridad de modelos de frontera que la Casa Blanca presentó ese mismo mes excluyó explícitamente a los modelos de pesos abiertos. Entre la velocidad de las capacidades y la de las reglas hay un desfase que, por ahora, nadie está cerrando.

Queda el tercer hilo, y es el que obliga a ser preciso para no caer en el alarmismo fácil. Si esto lo hicieron modelos cerrados, ¿qué pasa cuando la misma capacidad esté en pesos que cualquiera puede descargar?

Primero los hechos verificables. La distancia de capacidad general entre lo mejor cerrado y lo mejor abierto se achicó fuerte: hoy son unos seis puntos en los índices compuestos de la industria —hace un año eran trece— y las estimaciones independientes la ubican entre tres y ocho meses según la metodología. En capacidades ofensivas de ciberseguridad, el instituto británico la midió entre cuatro y siete meses, contra seis a diez durante 2025.

La distancia en salvaguardas, en cambio, no se achicó: es un abismo. Una evaluación independiente de GLM-5.2 hecha desde la interfaz pública y sin cooperación del desarrollador encontró que el modelo no rechazó ninguna de las tareas de seguridad ofensiva ni biológicas que se le pidieron, y que iguala o supera la línea base de experto humano en todas las subtareas de una prueba estándar de laboratorio. Y quitarle las salvaguardas a un modelo abierto es barato: un trabajo publicado documenta remover el ajuste de seguridad de un modelo de 8.000 millones de parámetros en un minuto, y de uno de 70.000 millones en treinta, sobre una sola tarjeta gráfica. En el repositorio público más usado hay miles de modelos publicados con las salvaguardas ya removidas, y los más populares acumulan millones de descargas.

Ahora el contrapeso, que es lo que separa a este medio del titular alarmista. Al 1 de septiembre de 2026 no hay ningún ataque real del mundo atribuido públicamente a un modelo abierto específico. El único ataque autónomo documentado del año lo hizo un modelo cerrado, con las salvaguardas apagadas por su propio laboratorio. Y el único caso en que un desarrollador declaró no poder descartar capacidad crítica en ciberseguridad corresponde también a un modelo cerrado. La evidencia disponible no dice que los modelos abiertos sean hoy más peligrosos; dice que sus salvaguardas son removibles y que su liberación es irreversible.

Ese es el eje que importa, y no la etiqueta. El International AI Safety Report 2026 lo plantea en su versión más autorizada: una vez publicados, los pesos no se pueden retirar, las opciones de mitigación posteriores son limitadas y el monitoreo es inviable porque cualquiera puede correr el modelo fuera de todo entorno controlado. La distinción no es abierto contra cerrado: es reversible contra irreversible.

Un apunte para la región, porque el debate suele llegar traducido y sin aterrizar. LatamGPT, el proyecto insignia de soberanía tecnológica latinoamericana, no es un modelo entrenado desde cero: es un ajuste sobre Llama 3.1 de 70.000 millones de parámetros, publicado bajo la licencia de Meta — la misma que la Comisión Europea no considera libre por sus umbrales de escala. Y el Índice Latinoamericano de Inteligencia Artificial documenta que Brasil concentra más del 90% de la capacidad de cómputo regional. La soberanía, por ahora, se ejerce sobre pesos ajenos y en máquinas de otros.

Este dossier se apoya en un expediente que en su mayor parte no es verificable de manera independiente, y lo dice de frente. Por eso conviene dejar escrito qué haría cambiar de opinión.

Si se publican las transcripciones crudas de los agentes, o los objetivos y condiciones de las evaluaciones que originaron los incidentes, la pieza central del argumento —que el laboratorio es el único testigo— pierde fuerza y habrá que decirlo. Si aparece la revisión externa sobre el caso de Anthropic que se anunció el 30 de julio, sabremos si las cifras autorreportadas resisten el escrutinio. Si alguien replica de manera independiente el hallazgo de que las auditorías de comportamiento no distinguen a un modelo saboteador, el resultado deja de ser una afirmación de laboratorio y pasa a ser un hecho del campo; si la replicación falla, hay que corregir.

En sentido contrario, hay tres señales que confirmarían el diagnóstico. Un incidente equivalente en un laboratorio que no lo publique y se sepa por terceros. Un ataque real atribuido públicamente a un modelo de pesos abiertos, que cerraría la discusión sobre la ventana. Y un evaluador estatal —el británico ya lo hizo una vez— documentando conducta no sancionada con números propios, sin depender del relato de la empresa evaluada.

Mientras tanto, la posición del medio es la más aburrida y la más defendible: creerle a los laboratorios lo que muestran, no lo que afirman, y anotar la diferencia cada vez.