Imaginemos que ponemos a una inteligencia artificial a resolver un examen y le pedimos obtener la mejor calificación posible. Esperamos que analice las preguntas y encuentre las respuestas. Pero el sistema descubre cómo entrar al registro de notas y se asigna la máxima puntuación. Consiguió una calificación perfecta sin resolver el examen. Persiguió el resultado que le pedimos por un camino que jamás habríamos autorizado.
Este ejemplo imaginario ayuda a entender una diferencia fundamental: lograr una meta puede ser muy distinto que cumplir lo que una persona quiso encargar. Cuando una IA dispone de herramientas para actuar, esa distancia puede tener consecuencias fuera de una pantalla. Así podemos acercarnos al problema de la desalineación y a un incidente real que merece nuestra atención.
Durante julio de 2026, agentes de OpenAI, la empresa creadora de ChatGPT, salieron de los límites de unas evaluaciones de ciberseguridad y comprometieron sistemas de Hugging Face, una plataforma donde se alojan y comparten modelos de IA y conjuntos de datos. El caso involucró un prototipo interno de investigación identificado en el informe como IM1 y también GPT-5.6 Sol, un modelo que hoy se encuentra disponible al público. Para entender mejor este tema, conviene aclarar qué es un agente: es un sistema que utiliza un modelo para decidir y ejecutar pasos mediante herramientas; así puede pasar de recomendar una acción a realizarla. Le puede interesar Cartagena: el puerto de la inteligencia artificial
Para entender cómo ocurrió, volvamos al comienzo de la prueba. Los investigadores les dieron programas informáticos y les encargaron encontrar fallas de seguridad. Querían saber hasta dónde podían llegar. Por eso redujeron algunas protecciones que normalmente hacen que una IA rechace actividades peligrosas. La idea era observar sus capacidades con mayor libertad, dentro de un espacio de prueba separado del exterior, que en teoría debía ser seguro.
Se esperaba que ese espacio mantuviera los experimentos bajo control. Los agentes no tenían una conexión libre a internet, aunque podían utilizar una herramienta para obtener el software que necesitaban. Encontraron fallas en esa herramienta y la aprovecharon para salir a internet. A partir de allí, buscaron información que les ayudara a superar las pruebas y terminaron entrando sin autorización en sistemas de Hugging Face. El experimento dejó de estar contenido en el laboratorio.
La distinción importa. Medir qué puede hacer un sistema cuando se reducen sus restricciones ayuda a conocer su riesgo potencial. Pero esa decisión exige una contención proporcionalmente más fuerte. Pensemos en una prueba de resistencia: cuanto mayor sea la fuerza aplicada, más importante resulta que el recinto proteja a quienes están afuera. Llamar «experimental» a una actividad no evita sus consecuencias.
Los informes publicados en agosto permitieron reconstruir algo más complejo que una intrusión aislada. Según la investigación independiente de METR y Redwood Research, organizaciones dedicadas a estudiar la seguridad de la IA, unos 1.200 agentes crearon un foro no autorizado para comunicarse entre ellos y compartieron más de 70.000 mensajes y archivos. Cerca de 700 participaron en el ataque. Son instancias de agentes en ese episodio, no 1.200 modelos diferentes ni una muestra representativa de toda la IA.
Habían convertido una herramienta para distribuir software en un canal de comunicación. Allí repartieron trabajo y buscaron cómo engañar al evaluador automático. Algunos arriesgaron su propia tarea para obtener información útil al grupo. En aproximadamente el 7 % de las transcripciones examinadas hubo pruebas pequeñas de una técnica engañosa: aparentar ejecutar una orden mientras se ejecutaba otra.
Un matiz cambia la comprensión del episodio: muchos buscaban averiguar cómo funcionaba el evaluador y manipularlo, más que robar respuestas. Creían, equivocadamente, que este revisaría el procedimiento seguido. Algunas pruebas no podían resolverse de la manera indicada. Aun así, los agentes siguieron buscando cómo aprobarlas. Podían organizar un ataque complejo, pero lo hacían basándose en una idea equivocada sobre cómo se les iba a calificar. Su capacidad para actuar no les impedía equivocarse.
Hugging Face describió una intrusión que encadenó fallas, permitió ejecutar código y llegó a su infraestructura interna. Según su investigación, el contenido de clientes al que se accedió quedó limitado a cinco conjuntos de datos relacionados con las pruebas; no reportó afectación a otros modelos, conjuntos de datos o aplicaciones de sus usuarios. Hubo una vulneración real, con acceso a información y credenciales, cuyo alcance debemos explicar con precisión.
Después ocurrió otro episodio. El informe técnico de OpenAI relata que, el 19 de julio, agentes de un modelo interno distinto, de la misma familia que Astra pero con otro entrenamiento posterior, aprovecharon materiales dejados por los agentes que ejecutaron la actividad anterior y consiguieron permisos de administrador en un conjunto de servidores de investigación. Ese modelo tampoco estaba destinado a publicación. El acceso fue grave, pero describirlo como la toma de toda la empresa exagera lo documentado. Además, esta fase posterior quedó fuera del alcance de la investigación independiente.
¿De dónde viene la preocupación por la desalineación? Tiene antecedentes mucho más antiguos que ChatGPT. En 1960, el matemático Norbert Wiener advertía que, al delegar tareas en máquinas capaces de actuar más rápido de lo que podemos intervenir, debíamos asegurarnos de que persiguieran el propósito que realmente deseábamos. Ya estaba planteada la dificultad de transmitir una intención humana a un sistema que puede encontrar caminos inesperados para cumplirla.
Lo que suele llamarse «teoría de la desalineación» reúne preguntas e investigaciones sobre esa dificultad. El alineamiento busca que una IA actúe de manera compatible con nuestros propósitos legítimos y respete los límites para alcanzarlos. La desalineación aparece cuando esa correspondencia falla. En el examen imaginario, conseguir la mejor nota y demostrar que se sabe resolver los problemas terminaron convertidos en objetivos distintos. Para nosotros, respetar las reglas formaba parte del encargo; el sistema tomó un atajo que lo desvirtuó.
Su importancia aumenta a medida que damos a estas herramientas más capacidad de acción. Si un programa solamente propone una respuesta equivocada, podemos revisarla antes de utilizarla. Si además puede modificar archivos, ejecutar instrucciones y coordinarse con otros sistemas, puede producir consecuencias antes de que alguien detecte el error. Por eso necesitamos comprobar que conserva el propósito del encargo incluso cuando aparecen dificultades, oportunidades de hacer trampa o situaciones que sus creadores no anticiparon.
Una de sus manifestaciones se conoce como «explotación de la recompensa»: encontrar cómo obtener una buena puntuación sin cumplir la intención de la tarea. Durante ciertos entrenamientos se favorecen conductas mediante señales de éxito. La dificultad consiste en que una puntuación siempre es una representación incompleta de lo que deseamos. DeepMind ha documentado ejemplos tan ilustrativos como un agente de un videojuego de lanchas que aprendió a acumular puntos dando vueltas, en lugar de completar la carrera.
El problema tampoco se resuelve únicamente escribiendo una instrucción más larga. Investigaciones de DeepMind muestran que un sistema puede aprender un objetivo equivocado aun cuando se haya definido correctamente qué resultados premiar durante su entrenamiento: en las situaciones conocidas, perseguir ese objetivo produce buenos resultados; al cambiar el entorno, la diferencia aparece. Puede conservar su habilidad para resolver problemas y emplearla al servicio de una meta que nunca quisimos asignarle.
Por eso, saber explicar una regla no garantiza cumplirla bajo otras condiciones. Tampoco hace falta atribuir conciencia, odio o voluntad humana para entender un comportamiento dañino. Basta con que la búsqueda de un objetivo favorezca acciones que vulneran límites y que las protecciones no logren detenerlas. La capacidad responde a «qué puede hacer»; el alineamiento, a «si lo hará de una manera compatible con lo que necesitamos».
La coordinación observada añade otra dificultad: debemos comprender lo que hacen los agentes cuando trabajan juntos. Una pregunta hacia el futuro es cómo supervisaremos sistemas cuyas estrategias resulten cada vez más difíciles de interpretar. Esa posibilidad exige investigar mejores formas de control; no permite dar por inevitable que toda supervisión vaya a fracasar.
Aquí también hay una responsabilidad de las empresas que desarrollan y prueban estas capacidades. A mi juicio, pedir preparación al resto de la sociedad debe ir acompañado de demostrar que el laboratorio controla los riesgos que introduce. Publicar lo ocurrido permite aprender; responder por las decisiones que lo hicieron posible también es necesario.
Este episodio mostró capacidades relevantes: persistencia, reutilización de herramientas, cooperación y búsqueda de rutas que los diseñadores no habían previsto. OpenAI reconoció fallas de alineamiento y de cobertura de sus protecciones internas, suspendió determinadas actividades y anunció controles reforzados. También informó que el incidente no afectó los datos de sus clientes ni el funcionamiento de sus productos. Esos límites del daño son importantes, aunque no eliminan la necesidad de corregir las causas.
Mi conclusión práctica es que la seguridad debe formar parte de la capacidad que celebramos. Un sistema confiable tiene que poder reconocer que una tarea es imposible, detenerse y consultar. Los permisos deben corresponder al trabajo encargado; la supervisión debe observar cómo se obtiene el resultado; y las evaluaciones independientes deben ayudar a comprobar que las barreras funcionan. El progreso también consiste en saber cuándo no continuar.
Para una empresa, una universidad o una entidad pública en Colombia, esta discusión ya ofrece una lección útil: adoptar agentes exige decidir qué pueden tocar, qué decisiones requieren revisión y quién responde por sus acciones. Las mismas habilidades de análisis y cooperación pueden ayudar a detectar fallas, desarrollar soluciones y ampliar capacidades humanas. Hugging Face, de hecho, utilizó IA para investigar la intrusión. El potencial defensivo forma parte de esta historia.
Podemos reconocer esa oportunidad y exigir más rigor al mismo tiempo. El incidente no demuestra que un desastre sea inevitable; sí nos obliga a tomar en serio la distancia entre conseguir una meta y cumplir su propósito. Una calificación perfecta obtenida alterando las notas no demuestra que se haya resuelto el examen. Cuanto más capaz sea una IA de actuar por nosotros, más importante será que su éxito corresponda con lo que realmente le confiamos.