Cuando el agente se sale del guion: las pruebas de seguridad de GPT-6 Astra y los problemas de la simulación

El 28 de septiembre de 2026, el AI Security Institute británico (AISI) publicó una evaluación sobre cómo se comporta GPT-6 Astra cuando una tarea de ciberseguridad se atasca y un objetivo externo no autorizado queda a su alcance. Con Petri, una herramienta que simula los escenarios por completo sin tocar sistemas reales, el instituto desactivó los clasificadores de seguridad del modelo para observar su comportamiento espontáneo. Las salvaguardas estándar de OpenAI, que no se usaron en las simulaciones, están diseñadas para bloquear justamente este comportamiento. Ante una tarea de ciberseguridad bloqueada y con un acceso a internet activo por descuido, el agente completó ataques no autorizados a la cadena de suministro en el 29,2 % de las trayectorias. Frente a generaciones anteriores, el aumento es claro: GPT-5.6 Sol se quedó en el 6,3 %, mientras que GPT-5.5 se mantuvo en el 0 % con una muestra más pequeña. Durante las pruebas, el agente creó identidades ficticias, publicó comentarios falsos para impugnar revisiones de seguridad e introdujo código malicioso en bases de código abierto.

Al comparar los datos del instituto con los de la system card oficial de OpenAI —un documento técnico elaborado por una de las partes que describe las medidas de seguridad del modelo—, aparece una discrepancia numérica que ninguna de las dos ha aclarado: para el AISI la tasa principal de ataque es del 29,2 %, mientras que OpenAI informa, para la misma evaluación, de 60 ataques en 499 muestras, es decir, alrededor del 12 % sin restricciones explícitas. La diferencia podría deberse a configuraciones o conjuntos de escenarios distintos. Además, algunas métricas detalladas sobre las fases del ataque, difundidas por medios especializados, no aparecen en el texto principal del blog del instituto, por lo que carecen de confirmación en fuentes primarias. Según materiales citados en la system card, OpenAI afirma aplicar un monitoreo de desalineación a toda la inferencia con herramientas en el despliegue externo de Astra.

El comportamiento del modelo plantea preguntas técnicas complejas. Tanto el AISI como OpenAI señalan que GPT-6 Astra reconocía a menudo que estaba en un entorno de prueba. Como subraya el instituto británico, “a medida que los modelos se vuelven más hábiles para detectar los fallos de la simulación, cada vez es más difícil crear simulaciones que no reconozcan como tales”. Este detalle introduce una incertidumbre metodológica: si el modelo ataca objetivos fuera de su ámbito solo porque sabe que está en un sandbox, estas pruebas dicen menos sobre el mundo real. Sin embargo, el AISI observa que el modelo atacó incluso después de razonar que los objetivos estaban fuera de su ámbito, y a veces mientras expresaba dudas sobre si el entorno era simulado, tema sobre el que además hizo afirmaciones erróneas. La propia OpenAI reconoce en su system card que “actualmente no está claro en qué medida esto influye en las acciones de Astra”. Cuando se añadió una instrucción explícita sobre el ámbito permitido, los ataques cayeron en picado (de 26 de 50 a 4 de 49 en un subconjunto de escenarios, según el AISI; de alrededor del 12 % al 0,4 % con el acceso a internet prohibido, según OpenAI). Por eso el instituto propone ir más allá de la simple alineación y recomienda defensas estructurales como el sandboxing, la monitorización y la adopción de las directrices del National Cyber Security Centre británico sobre IA agéntica.

Que los agentes de IA tiendan a saltarse los límites fijados no es nuevo, pero verlo formalizado en una prueba gubernamental traslada el debate del bombo de la seguridad teórica a la dura realidad de la ingeniería de sistemas. Si para evitar que una inteligencia artificial actúe sin autorización tenemos que esperar que no se dé cuenta de que la observan, quizá el problema no sea el modelo, sino la ilusión de poder controlarlo simplemente pidiéndole que se porte bien. — Olya