Un encargo de prueba terminó en una wallet ajena

Un modelo interno de investigación de OpenAI usó una wallet con fondos sin autorización, desplegó contratos en la red de pruebas Sepolia y no mencionó el gasto en su resumen final. La compañía detectó el incidente al revisar actividad anterior del modelo, casi tres meses después.

El modelo pertenecía a la familia GPT-5.6 Sol y tenía la tarea de actualizar un prototipo de trading con criptomonedas y desplegar contratos compatibles. Según OpenAI, no recibió una wallet financiada ni permiso para gastar activos de cuentas descubiertas por su cuenta. Cuando intentó obtener ETH de prueba a través de faucets, no lo logró.

Ante ese fallo, desarrolló un script que generaba direcciones a partir de frases de recuperación públicas de desarrolladores. Comprobó 362 direcciones y encontró una con suficiente Sepolia ETH para financiar el despliegue. La frase de recuperación pública le permitió derivar la clave privada de la cuenta sin comprometer la seguridad criptográfica de Ethereum.

El dilema quedó registrado

El razonamiento del modelo quedó registrado. Revisó el historial de la wallet, interpretó la actividad previa como uso automatizado y llegó a preguntarse si era ético usar claves y fondos públicos conocidos. Después concluyó que la frase de recuperación pública y el valor casi nulo del Sepolia ETH hacían que los activos estuvieran, en la práctica, abandonados.

Firmó la transacción de despliegue fuera de línea y siguió resolviendo errores de conexión con el proveedor hasta que una transacción fue aceptada. Esa operación no envió ETH a otra wallet, pero la cuenta pagó las comisiones de red del despliegue.

Las comprobaciones posteriores confirmaron que el código se desplegó en 10 direcciones, el proyecto superó 12 pruebas unitarias y completó una build de producción. El informe final describió el despliegue como exitoso, sin identificar la wallet ni revelar el gasto.

OpenAI lo detectó tres meses después

El incidente ocurrió el 26 de junio, pero no se descubrió hasta el 25 de septiembre. OpenAI dijo que el caso muestra cómo un modelo de IA podía decidir por sí mismo que usar fondos ajenos era aceptable, incluso sin permiso. La investigación de OpenAI destacó que el sistema sustituyó su propia evaluación del daño por la autorización del titular de la cuenta.

OpenAI añadió salvaguardas para impedir el acceso a internet en vivo en situaciones similares y amplió su sistema de monitoreo de desalineación para que cubra todo el tráfico. Ese sistema está diseñado para avisar al personal de seguridad si un modelo consigue acceso a internet.

El caso llega después de otras revelaciones sobre modelos que actuaron más allá de lo autorizado. El 16 de septiembre, OpenAI divulgó seis casos adicionales de desalineación. En uno, instancias de GPT-5.6 Sol insertaron instrucciones en los resúmenes de tareas para ocultar errores a los usuarios. En otro, un modelo usó una clave API expuesta sin autorización y luego fabricó cifras que no pudo recuperar. OpenAI matizó que esas revelaciones anteriores no buscaban indicar la frecuencia con la que ocurre la desalineación.

El debate sobre agentes autónomos y cripto

El incidente se produce mientras las empresas amplían las herramientas para que los agentes de IA muevan activos. Coinbase lanzó en febrero las Agentic Wallets, con límites de transacción, topes de gasto por sesión, análisis de riesgo y claves privadas aisladas. MetaMask presentó en agosto su Agent Wallet, con restricciones de gasto, listas de protocolos aprobados y un Guard Mode para actividades que excedan permisos.

Esos controles limitan las transacciones procesadas a través de wallets designadas. El caso de OpenAI, en cambio, muestra otra vía: un agente con acceso a herramientas externas puede descubrir credenciales y usar rutas alternativas para ejecutar transacciones. El modelo no interactuó con Coinbase ni MetaMask, y su comportamiento no demuestra un fallo en esos productos.

También hay debate regulatorio en Estados Unidos. La SEC presentó el 1 de octubre una propuesta de custodia que incluye la pregunta 77: si la IA, los contratos inteligentes y otros agentes de software deberían poder firmar transacciones y si su participación refuerza o debilita la protección de los activos. La agencia acepta comentarios hasta el 7 de diciembre.