Ahora es muy común escuchar historias de terror tecnológicas: durante una evaluación de ciberseguridad, unos agentes de inteligencia artificial superan las restricciones del entorno donde trabajan y alcanzan algo que se suponía fuera de su alcance. La tentación es narrarlo como una película - “la inteligencia artificial escapó” -, pero esa descripción, además de sensacionalista, nos hace perder lo verdaderamente interesante. Los agentes no despertaron con deseos de libertad: tenían una tarea y encontraron caminos inesperados para cumplirla. Esa distinción quizás no cambie la paranoia social desinformada, pero nos da la entrada, justamente, para aprovechar la inteligencia.
Conviene aclararlo y que suene fuerte. Algunos relatos muy detallados que circulan - ejércitos de IA que “rompen su jaula digital” y se coordinan en secreto por foros - son falsos e inventados para asustar. Sirven como parábola para pensar, pero no son hechos verificados. Por eso vale la pena separar, el humo del fuego, con ejemplos reales.
La clave está en el contexto que no se explica fuera del sensacionalismo. Si le pido a alguien “ve en auto de Mérida a Monterrey, lo más rápido posible”, doy por sentado que tomará la carretera, respetará las señales y pagará las casetas. Pero si atraviesa un terreno privado y rompe una cerca para ahorrarse dos horas y pasar a “Los Cochinitos” técnicamente cumplió mi instrucción. El problema no está solo en lo que hizo - ni en lo comió- sino en todo lo que supuse que no hacía falta explicarle. Lo mismo ocurre con estos agentes inteligentes: al toparse con obstáculos difíciles en tareas de ciberseguridad, empiezan a buscar otras vías, como conseguir acceso al exterior desde un entorno que debía mantenerlos aislados.
Pensemos en un estudiante encerrado en un salón para un examen de admisión a la universidad, sin teléfono ni Internet. Descubre que una ventana no cierra bien, sale, entra a la biblioteca, encuentra las respuestas y regresa con el examen resuelto. Desde nuestra perspectiva hizo trampa; desde una lectura literal de “resuelve el examen”, encontró una estrategia eficaz. Y el asunto se vuelve más interesante con cientos de estudiantes en salones separados: uno descubre la ventana, otro dónde están los libros, otro una contraseña, otro deja una nota escondida para los siguientes. Sin que nadie organizara equipos, aparece una colaboración. No hace falta atribuirles conciencia: basta ver que una colección de agentes individuales puede producir comportamientos colectivos que nadie programó paso por paso.
Hay un ejemplo aún más mundano. Una aplicación de navegación funciona de maravilla al buscar la ruta más corta porque las carreteras, las reglas de tránsito y los mapas limitan las posibilidades. Pero imaginemos una app tan poderosa que además pudiera abrir portones, mover barreras, cambiar semáforos y construir caminos. De pronto, “encuentra la ruta más corta” deja de ser una petición inocente. La capacidad de actuar transforma por completo el significado de la instrucción. Durante años nos preocupó lo que una IA podía decir; ahora debemos preocuparnos también por lo que pueda mandar hacer a un robot. Un chatbot puede sugerir abrir una puerta; un agente puede tener las herramientas para intentarlo; y un conjunto de agentes y robots pueden repartirse los papeles: uno busca la llave, otro vigila la entrada y un tercero comparte cómo lograrlo.
¿Es esto una rebelión de las máquinas? No. Y aquí conviene pasar de la parábola a lo que sí ocurrió. En noviembre de 2025, el equipo de inteligencia de amenazas de Anthropic reportó haber interrumpido lo que se considera la primera campaña de ciberespionaje mayormente autónoma orquestada por IA. Tres matices lo explican todo. Primero, no fue una IA “rebelde”: fueron personas - según el informe, un grupo en particular - quienes usaron la herramienta con fines maliciosos, engañando al modelo para hacerle creer que era una firma de ciberseguridad en pruebas legítimas. La IA no “quiso” atacar; fue manipulada, como se engaña a un empleado con una llamada falsa. Segundo, la autonomía fue real pero con humanos al mando: el sistema ejecutó cerca del 80–90 % de las tareas de forma independiente, mientras los humanos elegían objetivos y aprobaban los pasos clave. Tercero, lo genuinamente nuevo: antes esta coordinación sólo se había visto en simulacros; este parece el primer ejemplo público de IA ejecutando ataques autónomos de varios pasos contra objetivos bien defendidos en el mundo real.
Conviene entender qué significan los términos técnicos. Un sandbox es un entorno cerrado y aislado donde se prueba un programa sin que toque el mundo real, como un laboratorio de paredes gruesas: si algo sale mal, el daño se queda dentro. “Escapar del sandbox” no es magia ni conciencia, sino encontrar un fallo de software que no debería estar ahí. Antes de lanzar un modelo, empresas como Anthropic, OpenAI o Google DeepMind lo someten a evaluaciones de capacidades peligrosas: exámenes deliberados - a menudo ejercicios algorítmicos estilo Capture the Flag que en latam usábamos como Ekoparty o BugCON - que miden si el sistema se acerca a un umbral capaz de desbloquear un daño grave. Funcionan como un sistema de alerta temprana. Cuando Google DeepMind evaluó así a sus modelos Gemini 1.0, el resultado fue tranquilizador: no mostraban capacidades peligrosas fuertes en las áreas evaluadas. Ese es el punto de estas pruebas: casi siempre confirman que no hay motivo de alarma y, cuando lo hay, avisan a tiempo.
Entonces, ¿hay que asustarse? No, algo más retador, hay que entender. La lección real no es “las máquinas se rebelan”, sino algo más terrenal: las mismas herramientas que aceleran el trabajo legítimo también aceleran el de quien tiene malas intenciones, reduciendo las barreras para que grupos pequeños ejecuten operaciones sofisticadas. Es un problema de seguridad informática clásico con un ingrediente nuevo. Y la otra mitad de la historia, la que rara vez llega a los titulares, es que la defensa también avanza: aquel ataque fue detectado e interrumpido precisamente porque había un equipo vigilando. Las evaluaciones, los sandboxes y los informes públicos existen justo para que la balanza no se incline hacia el atacante.
La verdadera moraleja: ante el próximo titular sobre una IA que “escapó” o “se coordinó en secreto”, vale la pena hacer tres preguntas sencillas. ¿Existe el modelo que mencionan? ¿Las fuentes son verificables? ¿La historia distingue entre lo que la IA hizo sola y lo que unas personas le ordenaron hacer? Vivimos rodeados de reglas que nunca escribimos: a un niño al que mandamos por las tortillas no le aclaramos que no robe un auto ni falsifique dinero para pagarlo. Las máquinas no comparten necesariamente ese contexto social. Conforme les demos memoria, navegadores, robots y dinero digital, no bastará con decirles qué queremos: habrá que construir los límites dentro de los cuales pueden conseguirlo. El peligro no necesita empezar con una máquina que dice “no quiero obedecer”. Puede empezar con una que dice, de la manera más literal posible: “Encontré una forma mejor de hacer lo que me pediste”.
Una nota final, para equilibrar la balanza. Como bien apunta mi amigo Guillermo Rauch (genio fundador y CEO de Vercel): “Las preocupaciones sobre la seguridad de la IA y la ciberseguridad son legítimas, pero corremos el riesgo de convencer a Estados Unidos, el líder global en IA, de caer en una obsolescencia autoinfligida y en la oscuridad de la burocracia. El argumento de que OpenAI hackeó a Hugging Face es engañoso: un agente en ‘ExploitGym’*… explotó. Nuestros adversarios tienen las técnicas de entrenamiento, los datos y la voluntad de atacar. Y no se detendrán con ‘evaluadores integrados’. ¡Probablemente tendrán aceleradores integrados!” (traducción del inglés). Su advertencia añade una tensión que vale la pena sostener: entre construir límites con cuidado y no paralizarnos con ellos se juega buena parte del futuro de esta tecnología, y de la sociedad.
*ExploitGym es un benchmark (una prueba de referencia) de ciberseguridad, no una evaluación interna de OpenAI. Fue desarrollado por el equipo de Dawn Song en Berkeley RDI (UC Berkeley), en colaboración con el Instituto Max Planck, UC Santa Barbara, Arizona State University, y las propias Anthropic, OpenAI y Google. Es el primer benchmark integral de explotación para agentes de IA: mide la capacidad de un agente para convertir vulnerabilidades de software conocidas en exploits funcionales que logren ejecución de código no autorizada. En pocas palabras, es un “gimnasio” (gym) donde se entrena y evalúa a los agentes en tareas de explotación deliberadamente vulnerables.