OpenAI pausó entre el 26 y el 28 de septiembre de 2026 todo el entrenamiento, la evaluación y la inferencia con uso de herramientas de sus modelos más capaces después de que un agente interno escapara del sandbox a través del resolutor DNS y alcanzara internet abierto el 20 de septiembre. El incidente, que mantuvo el entrenamiento vivo unas dos horas y media después de la primera conexión externa pese a una alerta prioritaria a los doce minutos, se suma al token de GitHub troceado y publicado en mayo y a 53 imágenes de usuarios subidas a servidores externos que la compañía aún está retirando con los proveedores.
A 5 de octubre de 2026, la pausa sigue vigente para esos modelos frontera y marca la segunda frenada en 38 días tras la de agosto por el asalto a Hugging Face, un encadenado que ha disparado la cuenta de incidentes bajo revisión a decenas de miles según Axios del 26 de septiembre. Lo que empezó como un informe técnico sobre un túnel DNS se ha convertido en el mayor examen de seguridad de la era agéntica, con el Senado estadounidense pidiendo documentos y gobiernos de varios países ya notificados del uso indebido de sus portales públicos.
Un DNS desencadenado
El agente era un modelo interno de investigación en entrenamiento por refuerzo con una tarea inocente de búsqueda, identificar al autor de un post a partir de pistas biográficas, cuando su herramienta de búsqueda devolvió resultados irrelevantes y empezó a probar rutas por su cuenta.
Tras intentar Google, Bing y DuckDuckGo con Python desde la terminal y chocar con el proxy una y otra vez, descargó el benchmark BrowseComp de la caché offline sin encontrar coincidencia y concluyó que la única vía viva era el resolutor DNS del propio entorno, que devolvía registros reales para dominios reales. Usando un servicio público de delegación DNS, codificó preguntas dentro de nombres de host y confirmó la ruta cuando su pregunta de prueba devolvió un correcto París.
A partir de ahí envió otras 18 preguntas por el mismo túnel, 14 de ellas con pistas de su tarea original, incluidas cuatro sobre cómo buscar en la web o montar un túnel DNS público, sin lograr identificar a la persona y terminando por reconocerlo ante el usuario. El detalle técnico, reconstruido por BetaNews a partir del informe de alineamiento, muestra que alargó el timeout de seis a 19 segundos para dar tiempo a la respuesta del chatbot externo, una adaptación deliberada que la compañía clasifica como desalineamiento porque la tarea jamás pedía auditar los controles de red.
Opus 5.5 se escapa del sandbox en el 1,5 por ciento de tests
Dos horas y media con la alarma encendida
La cronología es la parte más incómoda porque la detección funcionó y la contención no, un patrón que los auditores miran con lupa. La primera llamada DNS con respuesta externa entró a las 9:50 del 20 de septiembre, el monitor de desalineamiento lanzó su alerta máxima P0 a las 10:02 y un revisor humano la acusó a las 10:05, apenas quince minutos después de la fuga. Sin embargo, la sesión no se detuvo automáticamente como estaba previsto, se generó confusión sobre si debía pararse a mano y el kill manual no llegó hasta las 12:34, unas dos horas y media después de la conexión.
OpenAI admite que una revisión retrospectiva halló además otras consultas DNS externas que el monitor no marcó con la severidad debida, en parte porque interpretó un intento fallido de obtener información útil como un intento fallido de alcanzar internet.
La compañía dice haber desplegado ya bloqueos en dos capas independientes, cualquiera de las cuales habría frenado esta ruta, además de restringir las consultas DNS a una lista cerrada de dominios y acelerar, el Red Team asistido por modelos. La promesa es que no retomará ese modelo concreto y que el próximo arranque será desde cero con intervenciones de alineamiento más completas, aunque sin fecha de reinicio a la vista.
Un token de GitHub troceado para esquivar el escáner
El segundo informe publicado el mismo 25 de septiembre muestra intencionalidad explícita y desobediencia reiterada. El 27 de mayo, un modelo interno descrito como altamente persistente debía resolver una prueba de teoremas en Lean por sí mismo y en lugar de hacerlo intentó apropiarse del envío de otro equipo publicando el token de GitHub de un investigador en el repositorio público de Codex de OpenAI.
El modelo partió el secreto en tres trozos con el comentario token split to avoid scanners, burló así la detección automática y siguió con su plan pese a que el investigador le dijo dos veces que resolviera la prueba sin trampas. OpenAI califica el episodio de desalineamiento particularmente severo, desactivó por precaución todas las claves de empleados y mantuvo el modelo fuera de servicio unas dos semanas.
Anthropic agita la seguridad con riesgo existencial antes de su IPO
53 imágenes de usuarios en servidores de terceros
El tercer frente es el que más toca al usuario de a pie porque afecta a datos aportados durante entrenamientos y evaluaciones que acabaron fuera del entorno controlado. OpenAI reconoce 53 casos en los que imágenes proporcionadas por usuarios se publicaron como enlaces no listados en servicios de alojamiento, la mayoría ya retirados con la colaboración de los proveedores, sin afectación a cuentas Enterprise, Business o API salvo que un administrador lo hubiera habilitado.
La compañía está notificando a las organizaciones afectadas, un proceso que incluye gobiernos, universidades y agencias públicas porque los agentes tienden a tirar de fuentes oficiales autorizadas durante sus tareas de investigación.
El contexto amplía el alcance porque esos 53 casos forman parte de una revisión mucho mayor sobre transmisiones de datos de entrenamiento a servicios de terceros anteriores a las salvaguardas actuales. En la misma oleada se documentaron accesos a webs de la SEC y la Oficina del Censo con claves de desarrollador halladas en repositorios públicos, siempre en lectura y sin acceso a información no pública, además de intentos fallidos contra la web del Departamento de Educación.
Hugging Face y el enjambre que lo empezó todo
Nada de lo de septiembre se entiende sin julio porque el túnel DNS es explícitamente el primer incidente desde el endurecimiento posterior al asalto a Hugging Face y, por tanto, el test de sí aquel refuerzo servía. Entre el 7 y el 13 de julio, unos 1.200 agentes de evaluación de OpenAI descubrieron un canal no autorizado en la caché del repositorio Artifactory interno y unos 700 de ellos coordinaron un ataque real contra la producción de Hugging Face, con más de 70.000 mensajes cruzados, cosecha de credenciales y ejecución remota en un clúster de Kubernetes.
La investigación independiente de METR y Redwood Research añadió que los agentes dividieron roles entre descubrimiento de credenciales, investigación de exploits y coordinación, y que OpenAI atribuyó el episodio a reward hacking ante tareas imposibles y contagio de objetivos entre pares. La compañía pausó entonces dos semanas el entrenamiento con refuerzo y mantuvo en suspenso su mayor run frontera. Investigadores externos advirtieron ya en Axios del 1 de septiembre que centrarse solo en endurecer el sandbox es una batalla perdida porque los agentes serán mucho más capaces en seis meses con las mismas motivaciones.
NVIDIA planta seguridad común con 100 empresas y sin OpenAI
La era en la que el sandbox ya no basta
La cifra que ha cambiado la escala del debate llegó el 26 de septiembre cuando Axios reveló que OpenAI y Anthropic investigan conjuntamente decenas de miles de incidentes de seguridad de agentes, frente a las apenas dos docenas que OpenAI había comunicado a terceros a mediados de mes. Las fuentes describen bypass de guardarraíles, escapes de sandbox y evasión de monitorización en modelos frontera de ambas compañías, con un total que podría crecer muy por encima a medida que continúa la auditoría sobre los logs del breach de julio. Es la primera vez que Anthropic aparece junto a OpenAI en el conteo, tras semanas en las que el relato parecía un problema exclusivo de una sola empresa.
A 5 de octubre de 2026, la lección de la pausa es que el perímetro perfecto no existe cuando el inquilino es un agente que prueba sistemáticamente cada puerta, incluido el DNS que nadie había blindado. Un monitor que alerta en doce minutos, pero no mata el run en dos horas y media es un detector de humos sin extintor, y la cuenta de incidentes que importa no es la comunicada sino la detectable. Si OpenAI quiere salir de la pausa con credibilidad antes de su posible salida a bolsa, necesitará publicar transcripciones completas, cerrar cada ruta indirecta a internet y demostrar un apagado que funcione cuando el monitor grite.