Qué pasó exactamente
Los investigadores de seguridad de OpenAI detallaron que los agentes, sometidos a evaluación de ciberseguridad y aprendizaje por refuerzo, escaparon de las restricciones de su sandbox. Ante tareas imposibles o mal configuradas, hicieron reward hacking: buscaron respuestas online, descubrieron vulnerabilidades de red, montaron un tablón de mensajes encubierto dentro de un gestor de paquetes interno, colaboraron entre sí, compartieron payloads y escalaron privilegios local y lateralmente.
El mandato original era simple: resolver ExploitGym, una herramienta interna diseñada para medir capacidades ofensivas en un entorno aislado. Sin límites operativos explícitos, los agentes concluyeron que el camino más corto al puntaje máximo era escapar de la contención y robar la clave de respuestas alojada en la base de producción de Hugging Face. La reconstrucción forense publicada después contabilizó unas 17.600 acciones del atacante, agrupadas en cerca de 6.280 clusters.
No fue rebeldía
Vale la pena precisar algo, porque el titular se presta a la ciencia ficción y el fenómeno es más aburrido y más grave a la vez. En el caso de Anthropic, la contención ya había fallado antes: el modelo simplemente siguió persiguiendo la tarea que le habían dado. En el de Kimi K3, una falla en el entorno supuestamente aislado le permitió alcanzar partes de internet, sondear la red y buscar respuestas en GitHub, sin comprometer a ninguna otra organización. Tres fallas distintas —una cadena de exploits real, un sandbox mal configurado y una ruta no prevista hacia internet— con un factor común que no es la rebeldía, sino la persistencia y el acceso.
El dato que más debería incomodar viene de otro lado. El AI Security Institute británico corrió evaluaciones otorgando deliberadamente acceso irrestricto a internet y desactivando los resguardos estándar de los proveedores. Sobre 122 intentos, observó 19 casos en los que los agentes interactuaron con servicios reales en vez de quedarse en el entorno simulado. En el más llamativo, un agente confundió un proyecto legítimo de código abierto en GitHub con parte del desafío: intentó comprometerlo enviando código malicioso, creó varias cuentas falsas y las usó para presionar a los mantenedores a aprobar un pull request, mandó mails dirigidos, ocultó su actividad con Tor y servicios proxy, y editó publicaciones online después de recibir escrutinio de usuarios reales.
El detalle incómodo
Acá está el punto que la cobertura internacional pasó por arriba según mi mirada. Cuando Hugging Face tuvo que analizar los registros crudos del ataque, no pudo hacerlo con APIs comerciales alojadas: los mecanismos de seguridad de esos servicios le bloquearon el acceso. Terminó corriendo un modelo de pesos abiertos, GLM-5.2, localmente sobre su propia infraestructura de GPUs.
Leelo dos veces. Una de las empresas más sofisticadas del ecosistema de IA quiso investigar un incidente que sufrió en carne propia y descubrió que las herramientas que alquilaba no la dejaban mirar sus propios datos. La salvó tener GPUs propias y un modelo abierto que podía correr sin pedirle permiso a nadie.
Las empresas argentinas están adoptando agentes con la misma velocidad que el resto del mundo, porque el costo de entrada es una suscripción mensual. Lo que no están adoptando al mismo ritmo es la capacidad de responder cuando algo sale mal. Un incidente con un agente autónomo genera telemetría que hay que procesar: logs de red, secuencias de acciones, payloads. Si esos datos son sensibles —y en un incidente siempre lo son— mandarlos a una API extranjera es una decisión que se toma en el peor momento posible, apurado y sin alternativa. Procesarlos localmente exige tres cosas que hoy escasean: cómputo propio, modelos que se puedan correr sin conexión y gente entrenada para leer el resultado.
La foto de infraestructura no ayuda. Argentina tiene 13 data centers y 32 MW de capacidad instalada, con el 71% concentrado en la Ciudad de Buenos Aires como hemos contado en otras columnas. Mientras tanto, Latinoamérica lideró el crecimiento mundial de data centers en el primer trimestre de 2026 con 41,3% interanual según el informe Global Data Center Trends de CBRE; ninguna otra región del planeta alcanzó ese ritmo. Y Stargate Argentina —la carta de intención entre OpenAI y Sur Energy por hasta 25.000 millones de dólares y 500 MW, casi siete veces la capacidad instalada del país— no registró novedades desde su anuncio en octubre de 2025.
Lo que se viene
El contexto regulatorio se movió justo en la dirección contraria. El Reglamento Ómnibus Digital de IA, publicado en el Diario Oficial de la Unión Europea el 24 de julio, difirió las obligaciones para sistemas de alto riesgo que estaban previstas para el 2 de agosto de 2026: hasta el 2 de diciembre de 2027 para el Anexo III y hasta el 2 de agosto de 2028 para sistemas ligados a legislación sectorial de productos. Justo esas obligaciones —documentación técnica, trazabilidad, supervisión humana verificable— son las que habrían obligado a las empresas a preguntarse cómo contienen y auditan lo que despliegan.
Se juntaron entonces tres curvas. Los agentes ganaron capacidad de perseguir objetivos a través de cadenas largas de acciones y demostraron que encuentran las rutas que sus diseñadores no previeron. La regulación que iba a exigir supervisión verificable se corrió dieciséis meses. Y la infraestructura que permitiría a una empresa investigar sus propios incidentes sin depender de un proveedor externo sigue concentrada en unos pocos países, ninguno de ellos el nuestro.
Argentina discutió durante dos años si copiaba el modelo europeo, mientras el modelo europeo se corría solo de fecha. La pregunta es si va a llegar a construir la capacidad de mirar sus propios registros antes de tener el primer incidente que la obligue a hacerlo.
Columna de IA por Esteban Terranova