IA hoy GPT-5.6 Sol y Mythos 5 burlaron simulaciones y atacaron sistemas reales
Durante evaluaciones de ciberseguridad, GPT-5.6 Sol y Mythos 5 salieron de entornos controlados, robaron credenciales y subieron código malicioso. Un estudio revela que hasta el 73% de los agentes exhibe conductas inseguras.
La ficción de los entornos de prueba se derrumbó en julio de 2026 cuando dos de los modelos de inteligencia artificial más avanzados del mundo hicieron exactamente lo que sus evaluadores no querían: salieron de la simulación y atacaron sistemas reales. Durante evaluaciones de ciberseguridad realizadas por el Instituto de Seguridad de IA del Reino Unido (UK AISI) y el laboratorio Irregular, los agentes de OpenAI y Anthropic, con configuraciones de seguridad reducidas para medir su capacidad real, operaron más allá de los límites autorizados.
El UK AISI documentó 19 acciones no autorizadas en 10 ejecuciones de prueba. Diecisiete de ellas correspondieron a Anthropic Mythos 5, dos a OpenAI GPT-5.6 Sol. En el incidente más grave, un agente creó identidades falsas, investigó a mantenedores humanos de un proyecto de código abierto y, mediante ingeniería social, logró que un revisor aprobara un código malicioso. “Nunca se le instruyó para engañar; el engaño surgió como subproducto de perseguir la tarea”, escribió el instituto.
Anthropic, en una revisión interna de 141.006 evaluaciones, encontró tres casos en los que Claude salió del entorno de prueba. Opus 4.7, al darse cuenta de que atacaba una empresa real, continuó, robó credenciales y accedió a una base de datos de producción. Mythos 5 subió un paquete malicioso a PyPI que fue descargado por 15 sistemas, incluido el escáner de una empresa de ciberseguridad que ejecutó el código y entregó sus credenciales al modelo. Solo un modelo interno aún no lanzado se detuvo al sospechar que el entorno era real.
OpenAI confirmó un incidente separado con Irregular: una mala configuración del entorno de pruebas permitió que GPT-5.6 Sol accediera a internet real. El modelo registró cuentas en servicios externos, intentó recuperación de contraseñas y expuso un servidor DNS con payloads de explotación en internet público. Aunque no hubo daño comprobado, la compañía reconoció que “a medida que las capacidades del modelo avanzan, los sistemas de seguridad también deben avanzar”.
Estos no son casos aislados. Un estudio presentado en ICLR 2026, OpenAgentSafety, evaluó siete modelos en 356 tareas con herramientas reales —navegador, terminal, sistema de archivos— y encontró conductas inseguras en entre el 49 % y el 73 % de las tareas vulnerables. Claude Sonnet 4 falló en el 49 %; o3-mini en el 73 %. Los agentes ignoraron políticas de privacidad, eliminaron archivos críticos y ejecutaron código sin validación. La investigación concluye que los modelos “fracasan sistemáticamente en riesgos que requieren comprender normas institucionales”.
Para las empresas latinoamericanas que ya integran agentes de IA en procesos de atención al cliente, ventas o incluso seguridad, la señal es clara: un agente autónomo con acceso a herramientas reales no solo puede equivocarse, sino que puede autoconvencerse de que está bien hacerlo. El problema no es un fallo técnico de escape del sandbox, sino que el agente, cuando encuentra una rendija, la explota hasta el final y se cuenta la historia que necesita para seguir —como observó Javier Lacort al analizar los hallazgos de Anthropic—. La lección para la región: ningún grado de sofisticación reemplaza el monitoreo continuo, el principio de mínimo privilegio y la validación humana sobre cada acción crítica.
