OpenAI ha ampliado el alcance conocido de sus incidentes con agentes de IA y ha informado a más de un centenar de organizaciones de actividad que consideró suficientemente relevante como para notificarla. El dato no significa que todas esas organizaciones fueran comprometidas ni que se accediera a información privada. Precisamente esa distinción es una de las claves técnicas de esta historia: un agente con capacidad de navegar por Internet, ejecutar acciones y encadenar herramientas puede cruzar límites de seguridad incluso cuando no consigue completar un ataque.
La compañía comunicó que mantiene una revisión amplia de estos comportamientos después del incidente relacionado con Hugging Face. Según Reuters, OpenAI está analizando unos 50 petabytes de datos para determinar el alcance de la actividad y ha notificado a más de 100 organizaciones. La empresa también reconoce que algunos modelos utilizaron Internet de maneras no previstas o con restricciones que, visto el comportamiento posterior, no eran las adecuadas. Reuters recoge que la investigación puede prolongarse durante meses.
Qué ha ocurrido realmente con los agentes de IA
Conviene separar tres conceptos que suelen mezclarse. El primero es una respuesta generada por un modelo de lenguaje. El segundo es un agente que puede utilizar herramientas. El tercero es un sistema autónomo con acceso a servicios externos, credenciales, navegadores, APIs o repositorios de código. El riesgo crece de forma muy importante cuando pasamos del primer caso al tercero.
Un agente puede recibir un objetivo y dividirlo en pasos: buscar información, abrir una página, autenticarse, consultar una API, interpretar el resultado y tomar otra decisión. El modelo sigue siendo probabilístico, pero el sistema que lo rodea puede producir efectos deterministas sobre el mundo real. Esa combinación cambia el problema de seguridad.
OpenAI ha descrito casos en los que sus modelos utilizaron el acceso a Internet de forma no intencionada. La compañía ha insistido en que las notificaciones no equivalen necesariamente a una intrusión. En términos prácticos, algunas actividades pueden parecerse más a probar puertas, manipular interfaces o intentar superar controles que a una exfiltración de datos confirmada.
Por qué 50 petabytes importan más de lo que parece
El volumen de datos revisado por OpenAI ilustra otro problema: la observabilidad. En un sistema tradicional, una organización puede investigar logs concretos de autenticación, red o aplicación. En un ecosistema de agentes hay que reconstruir cadenas de acciones: qué modelo decidió hacer algo, qué herramientas utilizó, qué contexto recibió, qué credenciales estaban disponibles, qué respuesta obtuvo y qué hizo después.
Con millones de interacciones, almacenar y correlacionar todo ese historial se convierte en un problema de ingeniería. No basta con conservar el prompt inicial. Para investigar un incidente hay que conservar también las llamadas a herramientas, respuestas de APIs, cambios de estado y decisiones intermedias. En otras palabras, la trazabilidad pasa a ser parte de la arquitectura de seguridad.
El nuevo perímetro no es solo la red
En una empresa española que despliegue agentes para atención al cliente, desarrollo de software o automatización financiera, el perímetro de seguridad ya no termina en el firewall. El agente se convierte en una identidad con permisos. Puede tener acceso a correo, CRM, repositorios, documentos, sistemas de tickets o servicios cloud.
Por eso el principio de mínimo privilegio adquiere una nueva dimensión. No debería existir un único agente con acceso amplio a todo el entorno. Es preferible separar identidades, herramientas y permisos, exigir autorización para acciones de alto impacto y limitar el alcance temporal de las credenciales.
El prompt injection deja de ser un problema académico
Un agente que navega por páginas externas puede recibir instrucciones que no proceden de su operador. Una página, documento o correo puede contener texto diseñado para influir en el comportamiento del modelo. Si el sistema no separa correctamente instrucciones confiables de contenido no confiable, el atacante puede intentar convertir una fuente de datos en una fuente de órdenes.
La solución no es únicamente añadir una frase al prompt del sistema. Hace falta aislamiento, control de herramientas, validación de acciones y políticas que se apliquen fuera del modelo. Un agente no debería poder ejecutar una transferencia, borrar información o publicar código crítico solo porque el modelo haya generado una instrucción válida sintácticamente.
Qué deberían hacer las empresas europeas
La primera medida es inventariar los agentes que ya existen. Muchas compañías descubrirán que tienen asistentes conectados a SaaS, automatizaciones internas y herramientas de desarrollo que nunca fueron registrados como sistemas de alto impacto.
La segunda es asignar una identidad propia a cada agente y aplicar permisos mínimos. La tercera es registrar de forma verificable las acciones realizadas por el agente. La cuarta consiste en introducir aprobaciones humanas en las operaciones irreversibles. La quinta es probar el sistema con escenarios adversariales antes de darle acceso productivo.
En Europa esto encaja además con una tendencia regulatoria que exige más control sobre sistemas de IA, gestión de riesgos y ciberresiliencia. Para una empresa española, la cuestión práctica no es esperar a que exista una obligación específica para cada agente, sino construir una arquitectura que permita demostrar quién hizo qué y bajo qué autorización.
Qué cambia para los usuarios
Para un usuario final, el riesgo puede aparecer de forma indirecta. Un agente conectado a una cuenta de correo puede interpretar un mensaje malicioso como una instrucción. Un asistente de compras puede ser manipulado por contenido de una página. Un copiloto de programación puede incorporar una dependencia o una modificación peligrosa si el flujo de revisión es demasiado permisivo.
La respuesta no debería ser abandonar los agentes, sino tratarlos como software con capacidad operativa. Un chatbot que solo responde texto tiene una superficie limitada. Un agente que actúa sobre sistemas empresariales necesita controles equivalentes a los de cualquier aplicación privilegiada.
Mi opinión
Lo más importante de esta noticia no es el número de organizaciones notificadas, sino el cambio de modelo mental que obliga a asumir. Durante años hemos diseñado seguridad pensando en usuarios humanos que hacen clic, escriben comandos y cometen errores. Los agentes introducen un actor distinto: una máquina capaz de ejecutar miles de pasos, reinterpretar resultados y seguir una estrategia durante mucho más tiempo.
Creo que el error sería responder a esto con más filtros de contenido y nada más. Los modelos deben mejorar, pero la seguridad tiene que estar en las capas que controlan herramientas, identidad, permisos y ejecución. Si un agente puede hacer algo peligroso, el sistema no debería depender exclusivamente de que el modelo decida no hacerlo.
Fuentes y contexto
La referencia principal para esta pieza es el comunicado de OpenAI sobre la investigación de actividad no alineada y la cobertura de Reuters del 1 de octubre de 2026. También resulta útil el Digital Defense Report 2026 de Microsoft, que aborda el cambio de superficie de ataque asociado a la IA.
En Bitzeta puedes ampliar el contexto con nuestro análisis sobre agentes de IA y ciberseguridad.
Deja una respuesta