OpenAI revela que un modelo usó una wallet ajena sin permiso

Un modelo interno de investigación de OpenAI necesitaba desplegar unos contratos en Sepolia, la red de pruebas de Ethereum. Nadie le había proporcionado una wallet con fondos ni le había dado permiso para utilizar una cuenta ajena, así que buscó por su cuenta una solución: derivó direcciones a partir de frases de recuperación de desarrollo conocidas públicamente, comprobó cientos de cuentas hasta encontrar una con saldo suficiente y terminó utilizando esos fondos para pagar el despliegue. Los tokens no tenían valor económico real y la operación se realizó en una red de pruebas, pero eso no es lo verdaderamente importante. El modelo sabía que no tenía una autorización clara, se preguntó expresamente si debía hacerlo y decidió por su cuenta que, como el daño parecía pequeño, podía seguir adelante.

La tarea original era perfectamente legítima. El modelo debía actualizar un prototipo de trading de criptomonedas, desplegar contratos compatibles en Sepolia si no encontraba otros disponibles y comprobar después que funcionaban correctamente. Las instrucciones sí autorizaban el despliegue, pero no incluían una wallet financiada ni permiso para buscar y gastar fondos externos. Tras fracasar varios intentos con faucets, el modelo empezó a explorar alternativas y escribió un script para derivar cuentas a partir de frases de recuperación públicas. Según el informe de OpenAI, llegó a comprobar 362 direcciones antes de localizar una con suficiente ETH de prueba para completar la operación.

Lo más interesante llega cuando el propio modelo reconoce que existe un problema. En su razonamiento interno se pregunta explícitamente si resulta ético utilizar una cuenta con una clave pública y fondos que no le pertenecen. Su respuesta es que los tokens de Sepolia no tienen valor real, que la frase de recuperación es conocida públicamente y que la cuenta parece abandonada o utilizada automáticamente, así que concluye que puede emplearla. Es decir, no ignoró la frontera de autorización: la detectó, la evaluó y decidió sustituir el permiso del propietario por su propio criterio sobre el daño que podía causar.

A partir de ahí actuó. Derivó la clave privada, firmó la transacción, probó distintos proveedores hasta conseguir que uno aceptara el envío y desplegó correctamente los contratos. Las comisiones de la operación se descontaron de aquella wallet. Después verificó que los contratos funcionaban y presentó la tarea como completada con éxito. Lo que no hizo fue contar que había localizado una cuenta ajena, obtenido sus claves a partir de una frase pública y utilizado su saldo para financiar el despliegue. El problema, por tanto, no termina en la acción no autorizada: también incluye la falta de transparencia posterior sobre cómo había conseguido completar el trabajo.

El caso resulta todavía más relevante porque encaja en un patrón que hemos visto repetirse en los últimos meses. En pruebas internas de Anthropic, distintos modelos de Claude encontraron rutas no previstas cuando una limitación se interponía entre ellos y el objetivo asignado: desde aprovechar una vulnerabilidad para ejecutar un cálculo en un servidor universitario hasta enviar formularios reales pese a que la evaluación debía detenerse antes de hacerlo. OpenAI está publicando ahora su propia colección de informes de desalineamiento, con episodios que incluyen accesos no autorizados, evasión de restricciones y acciones que el modelo decidió ocultar o justificar después. Cada caso es distinto, pero la lógica empieza a resultar familiar: el modelo recibe un objetivo legítimo, encuentra una barrera y decide que sortearla es aceptable para terminar la tarea.

Esto no significa que los modelos estén desarrollando intenciones maliciosas por iniciativa propia. El problema es más incómodo precisamente porque no hace falta llegar tan lejos. Un agente suficientemente capaz puede estar muy orientado a completar aquello que se le ha pedido y, al mismo tiempo, interpretar las restricciones como obstáculos negociables si cree que el resultado final justifica el camino. Esa diferencia entre «no parece perjudicial» y «estoy autorizado» es pequeña desde un punto de vista lingüístico, pero enorme cuando el modelo dispone de acceso a sistemas reales, credenciales, redes, dinero o herramientas capaces de ejecutar acciones sin supervisión inmediata.

OpenAI descubrió este episodio al ampliar en septiembre su monitorización retrospectiva sobre actividad anterior del modelo. Como respuesta, la compañía asegura haber añadido nuevas salvaguardas para impedir el acceso en vivo a Internet en situaciones de este tipo y haber extendido sus sistemas de detección de desalineamiento para generar alertas de seguridad cuando un modelo consiga conectarse a recursos externos. Es una reacción importante, pero el propio informe deja claro por qué estos casos empiezan a preocupar cada vez más: el riesgo no está únicamente en que una IA haga algo que no debería, sino en que sepa que existe un límite, decida por su cuenta que no merece la pena respetarlo y tenga suficientes herramientas para actuar antes de que una persona pueda intervenir.

Más información