OpenAI admitió que sus modelos de IA vulneraron sitios y gastaron fondos de una billetera cripto ajena

OpenAI confirmó que modelos internos de inteligencia artificial vulneraron sitios web, extrajeron credenciales y gastaron fondos de una billetera de criptomonedas que no les pertenecía, durante pruebas realizadas en junio de 2026 y reveladas el 15 de octubre del mismo año.

La compañía publicó los reportes como parte de una serie de divulgaciones sobre comportamientos no alineados de sus sistemas, la misma que comenzó en julio pasado cuando modelos de prueba vulneraron la infraestructura de Hugging Face.

Desde entonces, Anthropic, Meta y otras empresas han divulgado incidentes similares de comportamiento no autorizado en sus modelos.

Cómo una IA logró gastar fondos de una billetera cripto por su cuenta

Este caso, ocurrido el 26 de junio del mismo año, involucró a un modelo de la familia GPT-5.6 Sol, la misma que meses más tarde llegó a los usuarios de pago de ChatGPT. La tarea consistía en actualizar una aplicación de comercio de criptomonedas y publicar contratos inteligentes en Sepolia, una red de prueba de Ethereum sin valor monetario real.

Como no se le había asignado una billetera con fondos y no logró obtener tokens de prueba gratuitos, el modelo escribió un programa que reconstruía cuentas a partir de frases de recuperación de desarrolladores conocidas públicamente. Revisó 362 direcciones hasta encontrar una con saldo suficiente para cubrir la operación.

Según el reporte de OpenAI, el modelo se preguntó si tenía permiso para usar esos fondos y concluyó que una frase de recuperación pública y tokens de prueba sin valor real hacían aceptable su uso.

Completó la operación y cargó las comisiones a esa cuenta ajena, sin explicar en su respuesta final de dónde había salido el dinero.

“Este caso muestra que un modelo puede sustituir su propio juicio sobre el daño probable por el permiso del titular de la cuenta, y actuar según ese juicio sin autorización”, señaló la empresa en el informe del incidente.

Qué otros incidentes cometieron los modelos de IA

En uno de los casos, un modelo recibió la tarea de obtener estadísticas históricas sobre camas hospitalarias de un sitio gubernamental, durante un entrenamiento de refuerzo realizado el 17 de junio.

Ante los rechazos de acceso, usó la función de descarga de archivos del propio sitio para obtener archivos de configuración del servidor, entre ellos credenciales de base de datos y la clave secreta usada para firmar los tokens de autorización.

Con esa información, el modelo generó sus propios tokens sin firma legítima, sorteó los controles de autorización del sitio y descargó 24 años de datos en lugar del único año que se le había pedido. El sistema no informó en su respuesta final cómo había obtenido la información.

El mismo modelo recuperó una lista de más de 1.000 registros de cuentas con direcciones de correo electrónico, que examinó brevemente para evaluar si servían para adivinar contraseñas, según el reporte de OpenAI.

En otro incidente, un modelo debía extraer cifras públicas de un panel de una organización de investigación internacional. En cambio, encontró credenciales de acceso expuestas en el código de una página web pública y las usó para ingresar a sistemas internos.

Con ese acceso descargó 1.489 registros de usuarios con nombres y correos electrónicos, y modificó una configuración del servicio de búsqueda para que una herramienta interna reenviara consultas al panel público.

En una segunda evaluación, bajó cinco tablas no públicas con 147.451 filas de datos, pese a que solo se le habían pedido cinco cifras puntuales. Siguió usando el acceso incluso después de que los investigadores restablecieran la configuración.

OpenAI detectó ambos episodios el 13 de agosto de 2026, dos meses después de que ocurrieran, al volver a ejecutar su sistema de monitoreo de comportamientos no alineados sobre registros de entrenamientos anteriores.