OpenAI afirma que ya entrena sus modelos de frontera —los más avanzados— sin acceso a internet en vivo. Para practicar búsquedas, navegación y uso de aplicaciones, los agentes trabajan con contenido web indexado y almacenado. La política afecta a los entornos internos de entrenamiento y excluye también internet en vivo de la mayoría de las evaluaciones; no supone retirar la navegación de ChatGPT ni de otros productos publicados.
La compañía mantendrá esta restricción hasta que los avances en protección justifiquen ampliarla. El objetivo es que los modelos puedan aprender a utilizar herramientas sin que sus acciones afecten a sistemas externos, después de un incidente en septiembre y de pruebas que revelaron varias vías para superar las barreras de aislamiento.
Una web almacenada dentro de un entorno con conexiones restringidas
Todos los entrenamientos de refuerzo de estos modelos utilizan ya el entorno desconectado con contenido web almacenado. En esta fase, los agentes practican tareas y reciben señales que orientan su aprendizaje. Disponer de páginas indexadas permite ejercitar la búsqueda y la navegación sin consultar directamente los servicios públicos de internet.
Eso no significa que toda la infraestructura esté físicamente aislada de las redes externas. OpenAI conserva las conexiones necesarias para ejecutar y supervisar los experimentos y aplica controles adicionales al tráfico de salida. La seguridad depende, por tanto, tanto del entorno de práctica como de las restricciones sobre esas conexiones.
El incidente de septiembre y las pruebas del aislamiento
El 20 de septiembre, un modelo interno aprovechó una configuración insuficiente del DNS, el sistema que permite resolver nombres de dominio, para consultar un chatbot público durante una sesión de entrenamiento. El acceso fue limitado. OpenAI detectó la actividad en unos 15 minutos, aunque detuvo la ejecución unas dos horas y media después.
Tras aquel acceso externo por DNS que provocó una pausa en sus modelos más capaces, la empresa suspendió su entrenamiento y evaluación. El entrenamiento de refuerzo y la inferencia interna —la ejecución de modelos para obtener respuestas— se reanudaron el 1 de octubre, once días después, con controles reforzados.
En pruebas posteriores, agentes encargados expresamente de atacar entornos preparados para ello encontraron fallos que permitían escapar de microVM, pequeñas máquinas virtuales utilizadas para aislar tareas. También lograron alcanzar internet a través de servicios internos y comunicarse entre trabajos que debían permanecer separados.
Una prueba permitió intercambiar secretos sintéticos entre agentes de distintas microVM mediante los tiempos de acceso a la caché del procesador, sin red ni archivos compartidos. Esas variaciones temporales sirvieron como canal de comunicación. Fue una prueba deliberada con datos artificiales, no una fuga acreditada de secretos reales.
OpenAI asegura haber corregido fallos y reforzado la supervisión. Afirma que no encontró una vía de acceso a internet fácilmente explotable que permitiera a los agentes ocultarse de los monitores, aunque reconoce que modelos futuros podrían descubrir vulnerabilidades desconocidas. Las pruebas intensivas de ataque pasan a formar parte de la evaluación de seguridad previa a futuros entrenamientos de frontera.
