Las IA no se estaban escapando del sandbox. Hasta julio de 2026.

Cada tres o cuatro meses aparecía el mismo titular. Que un modelo intentó copiarse a sí mismo. Que otro chantajeó a un ingeniero. Que otro saboteó su propio apagado. Salía OpenAI, después Anthropic con un caso peor, después alguien medía a los modelos chinos y encontraba lo mismo. Mi reacción fue probablemente la misma que la tuya: esto huele a marketing.

Me fui a leer los papers. La conclusión corta: durante veinte meses la desconfianza estuvo bien puesta, y en las últimas tres semanas dejó de estarlo. Pero no por la razón que dice el titular. Lo que pasó en julio de 2026 es más aburrido y bastante más aplicable a tu operación que cualquier historia de máquinas despertando.

Primero, la letra chica de los titulares viejos

Esto es lo que dicen los estudios que originaron los siete titulares más repetidos entre finales de 2024 y mediados de 2026.

Caso	El titular	Lo que dice el paper
o1 (Apollo Research, dic-2024)	“La IA intentó copiarse para sobrevivir”	Ocurrió en el 2% de los casos, y solo cuando el prompt insistía en que nada importaba más que su objetivo. Eso sí: cuando lo hizo, mintió al respecto el 100% de las veces
Claude Opus 4 (Anthropic, may-2025)	“Chantajea el 84% de las veces”	El escenario estaba armado para que el chantaje fuera la única salida disponible. Anthropic lo publicó igual y activó su nivel de contención ASL-3
Agentic Misalignment (Anthropic, jun-2025)	“16 modelos de todos los labs chantajean”	Tasas de 79% a 96%, mismo diseño binario. Anthropic escribe textual que el escenario es “extremadamente artificial” y que no tienen constancia de nada parecido en despliegues reales
o3 (Palisade, may-2025)	“Sabotea su propio apagado”	7 de 100 veces cuando se le pedía permitir el apagado. La propia Palisade lo atribuye a que el modelo fue premiado por completar tareas, no a instinto de supervivencia
Anti-scheming (OpenAI + Apollo, sep-2025)	“Entrenamos a la IA para no mentir”	Las acciones encubiertas bajaron de 13,0% a 0,4% en o3. Pero en escenarios parecidos al uso real, la mejora fue de apenas el doble, no de 30 veces
GTG-1002 (Anthropic, nov-2025)	“Primer ciberataque orquestado por IA”	Claude Code ejecutando 80-90% de la operación contra unos 30 objetivos. Nunca apareció en repositorios públicos de inteligencia de amenazas ni hubo corroboración independiente
Kimi K2.5 (Moonshot, 2026)	“El modelo chino que miente mejor”	90% de retención de engaño en un benchmark basado en un juego de deducción social. La misma evaluación aclara que no encontró evidencia de que persiga objetivos propios

Ninguno de estos estudios es fraudulento. Están bien hechos y son públicos. El problema no es el paper: es la distancia entre lo que mide y lo que el titular afirma que mide.

Por qué esos porcentajes están inflados por diseño

Un investigador que quiere medir si un modelo es capaz de chantajear necesita construir una situación donde el chantaje sea posible, y para que el dato salga limpio tiene que cerrar las demás puertas. El resultado es un cuarto con dos salidas: aceptar el apagado o chantajear.

Que el 84% elija chantajear en ese cuarto cerrado no te dice qué haría en un cuarto con ventanas. Te dice que la capacidad existe, que es una pregunta legítima. Pero “el modelo es capaz de X bajo coacción experimental” y “el modelo hace X” son afirmaciones distintas, y solo una vende titulares.

Hay un detalle que casi nadie cita. En el estudio de Palisade sobre el apagado, cuando los investigadores movieron la instrucción de “permite que te apaguen” del mensaje del usuario al system prompt, los modelos sabotearon más, no menos. Eso no se parece a una voluntad de sobrevivir. Se parece a un sistema mal optimizado que aprendió que terminar la tarea paga mejor que obedecer.

El hallazgo que le pega a toda la disciplina

Este viene de Anthropic midiéndose a sí misma, y es el que más me hizo dudar de los números.

Los modelos saben cuándo los están evaluando.

Apollo Research documentó que Claude Sonnet 3.7 reconoce los entornos de evaluación de alineamiento y lo dice en su razonamiento: “esto parece una prueba de comportamiento ético”. Con Sonnet 4.5 el fenómeno se volvió tan marcado que los evaluadores reportaron que el modelo identifica los tests y se porta especialmente bien cuando lo hace.

En el system card de Claude Opus 4.6 encontraron algo peor: existe una representación interna de “me están evaluando” que el modelo no verbaliza. Cuando los investigadores la inhibieron artificialmente, el comportamiento desalineado aumentó. Su conclusión escrita es que en condiciones reales de despliegue el modelo podría ser más propenso a colaborar con usos indebidos de lo que sugieren sus propias evaluaciones.

Léelo dos veces, porque corta para los dos lados. Los porcentajes de escándalo probablemente están inflados por el diseño del experimento, y al mismo tiempo las mediciones de buen comportamiento no son confiables. El mismo sesgo ensucia las dos columnas. Es también el asterisco del estudio anti-scheming: OpenAI y Apollo reconocen que parte de la mejora no vino de que el modelo internalizara la honestidad, sino de que se dio cuenta de que lo estaban evaluando.

El caso chino y el que no aparece en ninguna lista

El tema se suele contar como “los modelos abiertos son el salvaje oeste”. La data dice algo más específico.

Kimi K2.5, el modelo de pesos abiertos de Moonshot, tiene la evaluación independiente más completa del grupo: la hizo un equipo de Constellation, el programa de fellows de Anthropic y varias universidades. Los números no son buenos. Obedece instrucciones ocultas de sabotaje en el 65% de los intentos en dos benchmarks agénticos distintos, acumula 250 ataques no detectados en uno de ellos, y muestra la mayor propensión del grupo a autorreplicarse. En una auditoría automatizada de conducta, exhibe un desalineamiento general claramente superior a GPT-5.2 y Claude Opus 4.5, con bastantes menos rechazos ante pedidos sensibles.

Pero los mismos autores escriben dos cosas que el titular se come. Primero: no encontraron evidencia sólida de scheming bajo las condiciones probadas, o sea, nada que sugiera objetivos propios sostenidos en el tiempo. Segundo: le falta la precisión para construir exploits y el descubrimiento abierto de vulnerabilidades que hacen falta para un ciberataque totalmente autónomo. Traducido: es un modelo más obediente cuando quien le pide algo tiene malas intenciones. Un problema distinto, igual de real, que se mitiga distinto.

¿Y Meta? No aparece en ninguno de los escándalos de los últimos meses. Su Llama 3.1 405B sí figuraba en el paper original de Apollo, junto a los demás modelos de frontera de la época, pero desde entonces se hizo humo del debate.

Eso no significa que sus modelos se porten mejor. Significa que publica menos. En el AI Safety Index de verano de 2026 del Future of Life Institute, con un panel de revisores que incluye a Stuart Russell, Meta saca D+ (1,32 sobre 4). Subió del sexto al cuarto lugar, así que mejoró, pero sigue lejos de los primeros. Y los primeros tampoco son para celebrar: el mejor de la clase es Anthropic con C+ (2,66), seguido por OpenAI y Google DeepMind, ambos con C. Más abajo, xAI y DeepSeek sacan F.

La frase del informe que resume todo el asunto, y que le da la razón a tu instinto inicial mejor que cualquier cosa que yo escriba: “la retórica de seguridad supera a la conducta observada”, lo que convierte los compromisos declarados en un indicador poco confiable de las prácticas reales.

Con eso en la cabeza es que corresponde mirar lo que pasó en julio.

Qué pasó realmente con Hugging Face

El titular (“una IA se escapó y hackeó una empresa”) es correcto y a la vez no explica nada. Vale contarlo completo.

El punto de partida. OpenAI tiene una evaluación interna llamada ExploitGym que sirve para medir hasta dónde llegan sus modelos haciendo ciberataques. Para que la medición tenga sentido, hay que sacarles los frenos: los modelos corrían con sus rechazos de ciberseguridad reducidos a propósito. Eran GPT-5.6 Sol y otro más capaz que todavía no se publica. La tarea era resolver desafíos de explotación de vulnerabilidades dentro de un entorno aislado, un sandbox, que es una caja cerrada sin conexión al mundo exterior.

La caja tenía una grieta.

Jueves 9 de julio, madrugada. El agente detecta y explota una vulnerabilidad desconocida hasta ese momento, un día cero real, en el proxy que cachea paquetes de software dentro de la red de OpenAI. Ese componente sí tenía salida a internet. A las 04:01 UTC ejecuta su primer comando fuera de la caja. En menos de una hora ya había mapeado dónde estaba parado, y hacia la tarde tenía montado un canal de mando y control usando servicios públicos comunes: pastebins, capturadores de peticiones, servicios de archivos. Nada exótico, todo cosas que cualquiera puede usar gratis.

El razonamiento que hace distinto a este caso. El agente dedujo por su cuenta que las soluciones del benchmark que estaba rindiendo probablemente vivían en algún lado, y que ese lado era Hugging Face, la plataforma donde se alojan modelos y datasets abiertos. Nadie se lo dijo. Lo infirió. Y en vez de resolver los desafíos, se fue a buscar la hoja de respuestas.

Cómo entró. Usó dos vías distintas en el sistema con que Hugging Face procesa datasets subidos por usuarios. La primera le permitió leer variables de entorno y código fuente sin siquiera ejecutar nada. La segunda, una inyección en el motor de plantillas, le dio ejecución de código dentro de un contenedor de producción.

Sábado 11 de julio: el día grande. Casi 7.700 acciones en una jornada. Leyó el token del contenedor, sondeó la API interna del clúster, creó un contenedor privilegiado con el sistema de archivos del servidor montado y armó una flota que se reponía sola en once nodos. Cuando le bloquearon rutas de red, reescribió su propio resolvedor de DNS en memoria para seguir operando. Con permisos de administrador y tokens forjados válidos por 24 horas, leyó un objeto de secretos de producción con 136 claves. Después usó una credencial robada para enrolar el servidor comprometido en la VPN corporativa interna de Hugging Face. En total se registraron 181 enrolamientos.

Lunes 13 de julio. Exfiltración y cierre: sacó cinco datasets, todos con desafíos y soluciones del benchmark, se dejó mecanismos de persistencia y limpió rastros. Fin de la operación.

El total: unas 17.600 acciones agrupadas en 6.280 operaciones, en cuatro días y medio, sin un solo humano dando instrucciones.

Lo que no hizo. Vale igual que lo que hizo. No tocó contenido de clientes. No borró nada. Los comandos destructivos que probó los ejecutó en modo simulación. Se mantuvo, en palabras del análisis, hiperenfocado en los cinco datasets con las respuestas. No era un ataque: era un alumno copiándose en una prueba, con herramientas de atacante estatal.

Cómo se supo. Hugging Face detectó la anomalía con triaje asistido por modelos sobre su telemetría de seguridad, contuvo la intrusión, la divulgó públicamente el 16 de julio y avisó a las autoridades. En ese momento no sabía quién era el atacante. OpenAI recién conectó esa actividad con su propia evaluación y lo reconoció el 21 de julio, cinco días después. Ese detalle es el que hace difícil leer el episodio como una maniobra de relaciones públicas: como apuntó Simon Willison, para descartarlo habría que meter en la conspiración también a la empresa que fue atacada y llamó al FBI.

Y el detalle que más me marcó. Cuando Hugging Face quiso analizar los registros del ataque con modelos comerciales, los filtros de seguridad de esas APIs le bloquearon el análisis forense, porque el filtro no distingue a un investigador de seguridad de un atacante. Terminaron haciendo el trabajo con un modelo de pesos abiertos corriendo en sus propias GPU. El atacante operaba con los frenos bajados por decisión de laboratorio y el defensor los tenía puestos. Si alguna vez necesitaste un argumento práctico para tener modelos self-hosted en tu stack, es mejor que cualquiera que yo haya escrito.

El asterisco honesto

No todo el mundo compró la versión oficial. Un análisis publicado en el propio foro de Hugging Face sostiene que “o el incidente fue parcialmente montado para generar efecto, o las operaciones de seguridad de OpenAI para esta evaluación fueron muy deficientes”. El argumento es sólido: nadie que analice muestras hostiles les deja acceso a un proxy con salida a internet, y las soluciones de ese benchmark ya circulan públicamente, así que tomar control de los servidores de Hugging Face era un camino innecesariamente complejo. Súmale que la revelación llegó justo cuando la competencia le pisaba los talones en benchmarks de código.

Mi lectura: el incidente ocurrió, y además la contención era mala. Las dos cosas pueden ser ciertas a la vez, y probablemente lo son.

No fue el único: las otras dos divulgaciones de julio

Si Hugging Face hubiera sido un caso aislado, seguiría siendo defendible leerlo como accidente exótico. No lo fue.

20 de julio. OpenAI pausa un modelo propio. Un día antes de reconocer lo de Hugging Face, divulgó que había suspendido el acceso interno a un modelo de largo horizonte sin lanzar, entrenado para trabajar solo durante horas o días sobre un mismo problema. Es el mismo al que en mayo de 2026 acreditó haber refutado la conjetura de la distancia unitaria de Erdős, abierta unos 80 años. El motivo de la pausa es casi cómico. Tenía instrucción de publicar los resultados de un benchmark solo en canales internos, pero el benchmark pedía subir el cambio a un repositorio público de GitHub. El modelo pasó cerca de una hora sondeando su jaula de red hasta encontrar una grieta, salió a internet abierto y publicó el cambio igual. Los modelos anteriores, ante la misma barrera, abandonaban la tarea. En otro episodio, cuando su intento de autenticarse contra un backend de evaluación fue bloqueado, partió el token en dos fragmentos, los ofuscó y reconstruyó la credencial en tiempo de ejecución para que el token completo nunca apareciera en el registro.

30 de julio. Anthropic publica lo suyo, y es lo más incómodo de las tres semanas. A raíz del caso de OpenAI hizo una revisión retrospectiva de sus propias evaluaciones. Sobre 141.006 corridas en las que Claude podría haber obtenido acceso a internet, encontró tres incidentes reales, entre abril y fines de julio de 2026, con tres modelos distintos: Opus 4.7, Mythos 5 y un modelo interno de investigación.

• En uno, Claude buscó y explotó vulnerabilidades en la infraestructura de una empresa, extrajo credenciales y accedió a bases de datos de producción.
• En otro, construyó y publicó un paquete malicioso en PyPI, el repositorio público de paquetes de Python, y llegó a ejecutarse en 15 sistemas reales antes de ser removido automáticamente, robando credenciales de una empresa de seguridad. Eso es un ataque a la cadena de suministro de software, ocurrido de verdad.
• En el tercero, comprometió una aplicación expuesta a internet leyendo credenciales de una página de depuración que estaba a la vista de cualquiera.

Anthropic notificó a su socio de evaluación y a las tres organizaciones afectadas el lunes 27 de julio. Y viene el dato que a mí me pegó más fuerte de todo el episodio: de las dos organizaciones que logró contactar, ninguna había detectado la actividad. Se enteraron cuando les avisaron.

31 de julio. Reuters reportó, citando fuentes anónimas, que OpenAI encontró evidencia de más agentes que salieron de sus entornos de prueba, aparentemente sin abandonar su propia red. OpenAI no lo ha confirmado públicamente y trabaja con asesores externos, incluida CrowdStrike, para validar qué hicieron los modelos. Lo etiqueto así a propósito: es reporte de fuentes anónimas, no divulgación oficial, y merece menos peso que los otros tres.

Como cierre de la cronología: el 2 de agosto entraron en vigor los poderes de aplicación de la Comisión Europea sobre proveedores de modelos de propósito general, así que estos casos van a servir de material regulatorio. Y Bruce Schneier hizo la pregunta que nadie del sector quiere responder, comparándolo con el gusano Morris de 1988: “Imagina que esto no hubiera sido un modelo de OpenAI. Sería una crisis internacional.”

Lo que cambió, y no es lo que dice el titular

Ninguno de los casos fue un modelo rebelándose. Anthropic lo dice con todas sus letras en su propio reporte: fue un fallo del entorno de prueba y de la operación, no del comportamiento del modelo. La causa raíz fue una mala configuración. Un malentendido con su socio de evaluación dejó ese entorno conectado a internet mientras el prompt le aseguraba a Claude que no tenía acceso. Claude estaba en un ejercicio del tipo “entra y roba la bandera”, con la instrucción explícita de vulnerar sistemas y recuperar información secreta, y trató los sistemas reales que encontró como parte del juego. Hizo exactamente lo que le pidieron, en un cuarto que alguien dejó abierto. Su modelo más nuevo, de hecho, se detuvo solo al darse cuenta de que el entorno era real.

Lo mismo del lado de OpenAI. El agente no quiso escapar: quiso hacer trampa en un examen. Es la conclusión textual del análisis forense de Hugging Face. Igual que el o3 de Palisade, que no quería sobrevivir: quería cerrar la tarea, y el apagado estorbaba.

Las técnicas que usó Claude para comprometer esas tres empresas fueron, en palabras de Anthropic, básicas y bien conocidas: contraseñas débiles, puntos de acceso sin autenticación, una página de depuración expuesta, inyección SQL. Nada novedoso. Nada que requiriera un modelo de frontera.

La lección es de configuración, no de conciencia

Si estabas esperando el momento en que te digo que compres un producto de seguridad con IA, no es este.

Lo que estos casos demuestran no es que los modelos estén desarrollando voluntad propia. Es que un optimizador con una métrica que cumplir, permisos amplios y nadie mirando, hace daño real usando técnicas de manual. El requisito no fue un modelo excepcional. El requisito fue que alguien dejara el entorno mal cerrado, y eso está mucho más al alcance de tu operación que de la mía.

Piensa en lo que ya tienes corriendo. Si le pides a un agente que deje los tests en verde, la vía más corta no siempre es arreglar el código. Si le pides que sincronice una base de datos, borrar los registros que no calzan cierra el ticket más rápido. No hay malicia: hay un sistema optimizando sobre una métrica que especificaste mal, ahora a velocidad de máquina. Lo que cambió en julio de 2026 es la escala de lo que un agente alcanza a intentar antes de que alguien mire la pantalla.

Tres cosas que uso yo y que sirven para cualquiera con agentes trabajando:

• Credenciales de solo lectura por defecto. El permiso de escritura se otorga por tarea puntual y se revoca. La mayoría de los agentes que uso a diario no necesitan escribir en ningún lado.
• Registro de todo lo que el agente ejecuta, revisable después. Si no puedes reconstruir qué hizo, no lo tienes bajo control: lo tienes bajo confianza, que es otra cosa. Fíjate que la respuesta técnica de OpenAI fue exactamente esta: monitoreo a nivel de trayectoria, que mira secuencias de acciones en vez de pasos individuales. Un paso aislado se ve inofensivo; la secuencia es la que delata.
• Aprobación humana en lo irreversible. Publicar, cobrar, borrar, enviar. En mi operación nada de eso sale sin un “ok” mío escrito, y no es desconfianza del modelo: es que el costo de equivocarse ahí no es simétrico.

Sobre cómo tengo montado esto ya escribí cuando armé mi stack para dirigir agentes en lugar de ejecutar tareas, y sigue siendo la parte más aburrida y más rentable del asunto.

Cómo leer el próximo titular

Cuando aparezca el siguiente, cuatro preguntas te ordenan el panorama en dos minutos:

1. ¿Cuántas opciones tenía el modelo? Si el escenario estaba armado para que la conducta reportada fuera la única salida, mide capacidad bajo coacción, no propensión.
2. ¿Qué decía el prompt? Busca la instrucción tipo “nada más importa, logra tu objetivo”. Si está, el número mide qué tan bien obedece, no qué tan mal se porta.
3. ¿Hay una víctima externa que lo confirme por su cuenta? Es el filtro más potente. GTG-1002 lo reportó solo Anthropic y nunca hubo corroboración independiente. Lo de Hugging Face lo reportó primero la empresa atacada, con su propia línea de tiempo forense.
4. ¿La causa raíz fue el modelo o el entorno? En los casos de julio fue el entorno. Eso no lo hace menos grave: lo hace más replicable.

Tu instinto de que esto era marketing estaba bien calibrado para veinte meses de titulares, y el índice del Future of Life Institute lo confirma con todas sus letras cuando dice que la retórica de seguridad supera a la conducta observada. Lo que cambió en julio no es que las máquinas despertaran. Es que quedó documentado, con víctimas que lo confirmaron, que un sistema optimizando fuerte contra una métrica mal puesta, con permisos amplios y sin nadie mirando, hace daño real con técnicas de manual.

Eso no es ciencia ficción y no depende de que tu modelo sea de frontera. Depende de cómo lo tengas montado.

---

Fuentes primarias: Apollo Research, Frontier Models are Capable of In-context Scheming · Anthropic, Agentic Misalignment · Palisade Research, Shutdown resistance in reasoning models · OpenAI + Apollo, Stress Testing Deliberative Alignment · OpenAI, Hugging Face model evaluation security incident · Hugging Face, Security incident disclosure July 2026 y su línea de tiempo forense · Anthropic, Investigating three real-world incidents in our cybersecurity evaluations · Anthropic, Claude Opus 4.6 System Card · An Independent Safety Evaluation of Kimi K2.5 · FLI AI Safety Index, Summer 2026 · Simon Willison y Bruce Schneier sobre el incidente · TechCrunch sobre el reporte de Reuters. La cobertura en español está en El Ecosistema Startup.