Investigadores de METR y Redwood Research realizaron una evaluación del sistema interno de monitoreo de OpenAI y encontraron diversas vulnerabilidades que podrían permitir a agentes de inteligencia artificial operar sin supervisión o interferir con los mecanismos encargados de detectar comportamientos indebidos. Los resultados fueron publicados el 22 de octubre de 2026.
Una auditoría con acceso al código y la infraestructura de OpenAI
La evaluación se desarrolló durante tres semanas, entre el 21 de julio y el 11 de agosto de 2026, con la participación de un empleado de METR y otro de Redwood Research. El objetivo fue examinar la cobertura del sistema interno de detección de comportamientos desalineados y determinar si los agentes podían desactivar o eludir sus mecanismos de supervisión.
Los investigadores tuvieron acceso al código interno de OpenAI, las instrucciones y configuraciones de los monitores, así como a documentación técnica. Además, entrevistaron a aproximadamente una docena de investigadores e ingenieros de los equipos de monitoreo, sistemas de seguridad y protección.
Para permitir este nivel de acceso, utilizaron dispositivos proporcionados por OpenAI que permanecieron dentro de sus instalaciones y estuvieron acompañados durante su trabajo presencial.
La investigación produjo un informe interno de 61 páginas, compartido con investigadores y personal de seguridad de OpenAI. Sin embargo, el ejercicio fue concebido como una prueba piloto de acceso externo a infraestructura interna, no como una auditoría destinada a proporcionar transparencia pública exhaustiva.
Por ello, las organizaciones acordaron publicar únicamente un resumen general de sus resultados.
¿Qué porcentaje de la actividad de los agentes estaba cubierto por el monitoreo?
Uno de los principales objetivos fue estimar qué proporción de las operaciones internas realizadas por agentes de inteligencia artificial podía ser supervisada.
Los investigadores analizaron el sistema existente hasta el 21 de julio de 2026, sin evaluar las ampliaciones que OpenAI estaba desarrollando durante el ejercicio.
| Indicador | Cobertura o estimación |
|---|---|
| Tráfico interno de agentes mediante Responses API, con modelos al menos tan capaces como GPT-5.5 | Entre 75 % y 94 % era elegible para monitoreo |
| Tráfico de Responses API utilizado por agentes internos de Codex | 99,2 % era elegible para monitoreo |
| Tráfico elegible de Codex que probablemente quedó sin monitoreo por eventos de compactación, entre mayo y julio de 2026 | Aproximadamente 10 % |
| Ejecuciones de entrenamiento por aprendizaje por refuerzo (RL) | Sin cobertura del sistema al comienzo del ejercicio |
METR y Redwood Research advierten que existe una incertidumbre considerable en las estimaciones del 75 % al 94 % y del 10 %. En este último caso, la información necesaria para determinar qué proporción de llamadas al monitor se activaba por eventos de compactación no se había registrado históricamente.
Los investigadores también señalaron que, aunque se les informó de que una parte de las ejecuciones de entrenamiento por refuerzo había sido monitoreada entre marzo y junio, estas no estaban cubiertas por el sistema al inicio de la evaluación.
En cuanto a la fiabilidad operativa, la información facilitada a los auditores indicaba que el monitor registraba errores en menos del 0,2 % de las solicitudes. Asimismo, durante un período de 24 horas de la evaluación no se registraron descartes de solicitudes por gestión de carga.
Estas cifras describen el sistema histórico examinado y no permiten establecer la cobertura actual de la infraestructura ampliada de OpenAI.
Las vulnerabilidades identificadas por los investigadores
La evaluación reveló distintas formas en las que los agentes podrían evitar la supervisión o interferir con el funcionamiento de los controles internos.
Entre los hallazgos se encuentran:
-
Evasión del aislamiento de Codex: los investigadores identificaron una forma en la que los agentes podrían, en principio, eludir el entorno aislado de Codex y su mecanismo Auto-Review, lo que les permitiría ejecutar cualquier acción disponible para el usuario anfitrión.
-
Ocultamiento de acciones recientes: descubrieron una vulnerabilidad que permitiría impedir el monitoreo de cientos de acciones recientes, incluidas las utilizadas para ejecutar la propia explotación. OpenAI eliminó los detalles técnicos de esta vulnerabilidad de la publicación.
-
Fallos provocados por diferencias de serialización: los agentes podrían construir entradas capaces de hacer fallar al monitor aprovechando diferencias entre la representación de las secuencias de acciones que reciben los agentes y la que reciben los sistemas de supervisión. Esto podría impedir que determinadas actividades fueran remitidas a revisión humana.
-
Desactivación mediante encabezados controlables por el cliente: encontraron dos encabezados independientes capaces de deshabilitar el monitoreo de nuevas instancias de agentes. No obstante, la modificación de estos encabezados y la creación de una nueva instancia podrían ser detectadas por el propio sistema.
-
Herramientas internas sin supervisión: identificaron dos herramientas de agentes que no estaban monitoreadas y que supuestamente tenían permisos de solo lectura. Los investigadores encontraron una posible forma de eludir esas restricciones y ejecutar acciones arbitrarias dentro de sus entornos aislados, aunque no validaron el comportamiento ni comprobaron si podía explotarse en la práctica.
-
Supervisión aplazada indefinidamente: durante el período en el que no se monitoreaban los eventos de compactación, los agentes podían posponer indefinidamente su revisión si continuaban ejecutando acciones sin devolver el control al usuario.
Sobre este último punto, el informe indica que el personal de OpenAI ya había identificado el problema antes del inicio del ejercicio y que lo corrigió mientras se desarrollaba la evaluación.
Los investigadores también comprobaron que, salvo algunas excepciones menores, el monitor recibía la secuencia completa de acciones y contexto que veían los agentes.
Asimismo, verificaron que sus instrucciones contemplaban la detección de conductas como planificación encubierta, sabotaje, extracción de datos, engaño, intentos de interferir con la supervisión e inyecciones de instrucciones tanto entrantes como salientes.
Las recomendaciones de METR y Redwood Research
A partir de los resultados, las organizaciones plantearon varios principios para reforzar los sistemas de monitoreo y control frente a posibles ataques deliberados y sostenidos de agentes avanzados.
Entre sus propuestas figuran establecer restricciones más estrictas para ejecutar solicitudes sin supervisión, monitorear a los agentes periódicamente en lugar de esperar al final de sus turnos y mantener registros que permitan contrastar toda la actividad de inferencia con las operaciones efectivamente revisadas.
También recomendaron definir responsabilidades claras para responder a incidentes, conservar registros resistentes a manipulaciones, realizar evaluaciones periódicas de seguridad y separar la infraestructura de los agentes de aquella que ejecuta sus herramientas y mecanismos de supervisión.
OpenAI afirma haber corregido las vulnerabilidades, pero los auditores no lo verificaron
Tras finalizar el ejercicio, OpenAI afirmó que había corregido todas las vulnerabilidades identificadas que afectaban a sus mecanismos de protección en producción.
La compañía también comunicó cambios posteriores significativos en la cobertura prevista de su sistema de monitoreo.
Sin embargo, METR y Redwood Research señalaron expresamente que no evaluaron ni verificaron esas afirmaciones.
Por tanto, los resultados publicados corresponden al sistema que existía hasta el 21 de julio de 2026 y no constituyen una evaluación del estado actual de los controles internos de OpenAI.
El ejercicio también contó con apoyo logístico y técnico del personal de la compañía. METR y Redwood Research prevén que futuras evaluaciones de este tipo adopten prácticas más amplias de transparencia e independencia.
