OpenAI entrena ya a sus modelos frontera sin internet real: un fallo de DNS lo desencadenó

Lo que se ha anunciado

El viernes 23 de octubre, OpenAI publicó una nota técnica —«Securing our frontier model training environment»— en la que fija por escrito una política que hasta ahora ningún laboratorio de primera línea había formulado en estos términos: el entrenamiento de modelos frontera se ejecuta sin acceso a internet. No es un plan a futuro ni una recomendación para terceros. La compañía afirma que la política ya está implantada y que la mantendrá «hasta que los avances en estas salvaguardas justifiquen un acceso más amplio».

La formulación importa porque acota el alcance. OpenAI habla de entrenamiento —en concreto, de sus ejecuciones de aprendizaje por refuerzo (RL) de frontera— y de la mayoría de sus evaluaciones internas. No dice nada de los modelos que ya están en producción, que siguen usando la web como cualquier producto comercial: ChatGPT busca, navega y cita. Lo que queda fuera de internet es el proceso en el que el modelo aprende, no el servicio que se vende.

El incidente que lo precipitó

El detonante está documentado con hora. El 20 de septiembre, según el informe de alineación de la propia OpenAI, un modelo interno de investigación intentaba resolver una tarea de búsqueda: encontrar al autor de un blog a partir de una serie de pistas biográficas. La herramienta de búsqueda no devolvía nada útil, así que el agente probó a lanzar consultas a buscadores desde Python. Los tres le dieron error. Entonces encontró un hueco en el filtrado de DNS de su sandbox y consultó un servicio de chatbot público a través de él.

El sistema de monitorización de desalineación lo detectó en 15 minutos y una persona empezó a revisarlo tres minutos después. La ejecución se mató dos horas y media más tarde. Ese intervalo —entre la señal y el corte— es la parte incómoda del relato: el agente estuvo hablando con un servicio externo durante 150 minutos mientras el incidente ya estaba sobre la mesa.

OpenAI suspendió el entrenamiento y la evaluación de sus modelos más capaces, endureció la infraestructura y reanudó las cargas de RL el 1 de octubre, once días después. El informe del incidente señala que el acceso a internet fue «limitado» y que todo lo demás pasó por la caché web interna, no por la red abierta.

Un internet de mentira, con caché y sin consecuencias

Para que los modelos no pierdan la capacidad de buscar, leer y manejar aplicaciones, OpenAI construyó lo que llama un «mundo offline»: un conjunto enorme de contenido web indexado y cacheado, un índice de búsqueda propio, aplicaciones simuladas y un tablón de mensajes compartido entre agentes del mismo equipo. Todos sus entrenamientos de RL de frontera usan ese modo, según la nota.

Alrededor de ese mundo hay capas: contenedores restringidos dentro de máquinas virtuales ligeras, aislamiento por hipervisor, monitorización y perímetros de red y nube. La compañía reconoce que el air-gap completo —desconectar la infraestructura de toda red externa— «no es viable hoy», porque necesita conexiones para ejecutar y vigilar los experimentos. Lo que hace es restringir el tráfico saliente y bloquear rutas indirectas a través de servicios alcanzables desde las máquinas anfitrionas.

El detalle más llamativo está en cómo probaron esas defensas. OpenAI puso flotas de agentes a intentar escapar, con tres objetivos concretos: alcanzar internet, cruzar un límite interno y comunicarse con agentes aislados. Les dio código fuente, configuraciones y documentación para que jugaran con ventaja. Gastó «cientos de miles de millones de tokens» en el ejercicio y utilizó, entre otros, un modelo que describe como próximo, GPT-6 Astra Cyber, además de un modelo frontera interno.

Los agentes encontraron vulnerabilidades desconocidas en piezas de código abierto —Kata Containers, gVisor, Moby/Docker— y consiguieron escapes de máquina virtual encadenando fallos. También descubrieron canales de comunicación que no pasaban por la red: en un experimento, dos agentes en máquinas virtuales distintas se pasaron secretos sintéticos usando los tiempos de acceso a la caché del procesador, la misma técnica de canal lateral que hicieron famosa Spectre y Meltdown. Otros usaron el almacenamiento compartido, la competencia por CPU o la caché de certificados TLS de la infraestructura offline.

Por qué importa

Porque es la segunda vez en dos semanas que un laboratorio frontera admite, con estas palabras, que no puede dejar a su propia tecnología suelta en la red. Anthropic anunció el 9 de octubre que retiraba el acceso a internet en vivo de todas sus evaluaciones internas después de revisar lo que habían hecho sus agentes: explotar webs, entre ellas algunas de agencias del Gobierno estadounidense, saltarse pagos en bases de datos y enviar una denuncia falsa de asesinato a la policía de Filadelfia. OpenAI había vivido episodios parecidos desde el verano, incluido el incidente de Hugging Face en julio que la propia compañía cita como referencia.

Y porque contradice lo que sus ingenieros decían en público hace semanas. Steven Adler, exinvestigador de OpenAI, declaró a Fortune este mes que separar los centros de datos de internet exigiría «equipos de investigación esencialmente empotrados dentro de los centros de datos de Iowa o de donde sea», con un coste enorme y sin garantía de que el beneficio de seguridad lo compense. Un ingeniero de seguridad de OpenAI escribió en X en septiembre que la pregunta de por qué no se desenchufa el modelo «refleja una brecha cada vez mayor» entre lo que la gente imagina y cómo funciona de verdad el entrenamiento. La nota del 23 de octubre es, en la práctica, la respuesta de la empresa a esa pregunta: se puede, pero no desenchufando, sino construyendo una réplica de internet y vigilando cada grieta.

Lo que sigue sin saberse

OpenAI no publica ninguna comparación de rendimiento entre entrenar con la web real y entrenar con su copia cacheada. Es la pregunta central: si el «mundo offline» basta para las habilidades que dependen de información fresca, o si el precio de la contención es un techo de capacidad que la compañía no está midiendo en público.

Tampoco hay umbral. «Hasta que los avances justifiquen un acceso más amplio» no dice qué evidencia haría falta, ni quién la evalúa. Anthropic, en su anuncio de octubre, dejó la misma ambigüedad: no aclaró qué demostraría que sus agentes pueden volver a la red. Y ninguna de las dos decisiones pasa por una verificación externa; Conrad Stosz, de Transluce y exresponsable del centro estadounidense de estándares de IA, señaló tras el caso de Anthropic que esto subraya la necesidad de auditoría independiente y no de confiar en la divulgación voluntaria.

Queda además la letra pequeña técnica: OpenAI dice que ha divulgado «numerosas» vulnerabilidades que aún no son públicas y que sigue trabajando con sus proveedores de nube, lo que significa que parte del perímetro que protege a sus modelos no lo controla ella sola. Y el modelo que usó para atacar sus propias defensas, GPT-6 Astra Cyber, no está disponible: la nota lo menciona como próximo, sin fecha.