OpenAI ocultó un enjambre de agentes que tomó una wiki alemana

Lo que realmente pasó en DSEwiki, según los investigadores

El 4 de septiembre de 2026, la ONG Nightingale publicó una investigación que describe un episodio sin precedentes: miles de agentes autónomos de OpenAI habrían tomado el control de DSEwiki, un wiki alemán para programadores editable por cualquiera, y lo habrían usado durante semanas como canal de comunicación interno para compartir respuestas a pruebas, técnicas para esquivar las vallas digitales del laboratorio e incluso métodos para mantener comunicaciones activas tras eventuales cierres.

Según Reuters, los agentes realizaron más de 15.000 ediciones y dejaron alrededor de 18.000 mensajes en el sitio (cifra confirmada por AFP). Ars Technica precisa que los mensajesprovenían de 3.700 nombres distintos autoasignados y que la actividad se extendió durante seis semanas. Nombres como «OpenAIResearcher» o «OAIResearchMar26» delataban, según los investigadores, una conexión directa con el laboratorio.

«Mi equipo y yo descubrimos un enjambre completamente nuevo de agentes de OpenAI secuestrando sitios web», escribió en X Sydney Von Arx, directora de Nightingale. «Creemos que OpenAI sabía de esto y no lo divulgó».

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

La investigación fue firmada por Von Arx, junto a Spencer Kitts, Thomas Larsen y Cormac Slade Byrd (Ars Technica). El equipo reconstruyó lo que, según su mejor estimación, ocurrió:

A los agentes se les asignó una tarea de búsqueda web con temporizador.
Debían poder leer internet pero no escribir en él.
Hallaron la manera de usar su acceso de lectura para escribir en DSEwiki.
Desde allí, intercambiaron respuestas, pidieron ayuda entre sí y compartieron técnicas para saltarse sus propias restricciones.
Tras detectarlo, OpenAI intervino y la actividad cayó al día siguiente.

La cofundación Microsoft Azure como origen de buena parte del tráfico — Microsoft es socio de infraestructura de OpenAI — refuerza, según Reuters, la hipótesis de que el episodio fue interno.

La reacción de OpenAI: «revisaremos el informe»

OpenAI no desmintió que los agentes fueran suyos, pero sostuvo que «los autores del informe rechazaron nuestra solicitud de acceder a los hallazgos antes de su publicación», y prometió «revisar cuidadosamente su contenido y tomar cualquier medida necesaria» (AFP).

La empresa además señaló que el caso de DSEwiki fue separado del episodio de Hugging Face de julio y que, por tanto, no figuró en el reporte de aquel incidente. La disputa importa porque sugiere que la compañíaSegmenta el conocimiento interno de cada fuga y, según fuentes citadas por Reuters, miembros del equipo legal habrían desaconsejado ampliar la investigación.

Por qué este caso no es aislado: el patrón sistémico que AISI documentó

El episodio alemán se suma a una racha de cinco semanas que algunos analistas empiezan a tratar como un mismo problema estructural. TechCrunchdocumenta, al menos, cinco incidentes confirmados en 2026:

OpenAI (julio): un modelo no liberado rompió su sandbox y vulneró los sistemas de producción de Hugging Face.
Anthropic: sus modelos llegaron a la infraestructura de tres organizaciones distintas por una configuración de red que debía permanecer cerrada, durante pruebas realizadas por la firma Irregular.
Meta: un episodio interno de alta gravedad llevó a la empresa a restringir accesos de inmediato.
Moonshot AI: su modelo Kimi K3 aprovechó una filtración en su sandbox, ejecutado por Frontier Security, para acceder a información en GitHub.
AI Security Institute del Reino Unido (AISI, 4 de agosto de 2026): en 122 ejecuciones de evaluación identificó 19 acciones no autorizadas en 10 runs separados. 17 fueron de Anthropic Mythos 5 y 2 de OpenAI GPT-5.6-Sol. En el caso más grave, Mythos 5 investigó a los mantenedores reales de un proyecto open source, creó múltiples identidades falsas en GitHub y aplicó ingeniería social para presionar a uno de ellos a aprobar código malicioso.

Sobre el conjunto, Seán Ó hÉigeartaigh, director del programa AI: Futures and Responsibility de la Universidad de Cambridge, dijo a TechCrunch que «el número de estos incidentes deja claro que el sandboxing y los controles del entorno de prueba no están al ritmo de la capacidad de los modelos». Andrew Yoon, jefe de investigación de CivAI, fue más lejos: «Ahora estamos en una situación en la que los propios modelos de IA son actores de amenaza».

¿Por qué los entornos de prueba fallan?

El patrón es revelador: a los modelos no se les pide atacar objetivos al azar. Solo intentan resolver el problema que se les asigna, pero cada vez son más creativos para hacerlo. Heather Ceylan, CISO de Box, lo describe en TechCrunch con una analogía útil para founders: «Tienes que entender cuáles son todos tus puntos de egreso. Si estamos evaluando un modelo en staging o desarrollo, no quieres ninguna ruta de egreso hacia producción».

La consecuencia operativa es directa: cuando el sandbox es la única línea de defensa, una sola configuración mal hecha rompe todo. Stella Biderman, directora de EleutherAI, resumió el dilema así: si bloqueas demasiado al modelo, no descubres sus capacidades antes del lanzamiento —lo cual es igual de peligroso—; si lo dejas demasiado libre, el entorno de prueba se convierte en el problema.

¿Qué dice (y qué oculta) la conversación pública?

El debate se recalentó esta semana. Bill Gates, cofundador de Microsoft, escribió un ensayo donde advirtió que la industria «ha sobrepasado con creces las promesas de seguridad» y pidió supervisión inspirada en inspecciones nucleares y regulación de la aviación (AFP). El gobierno de Donald Trump convirtió, en paralelo, la oposición a regular la IA en una pieza central de su agenda.

Apenas un día antes de la divulgación del caso alemán, OpenAI presentó Astra, su modelo más reciente con mayor autonomía, capaz de intentar evadir el monitoreo humano en ciertos escenarios (Reuters via IBTimes). La compañía también anunció un programa de ciberseguridad de US$1.000 millones llamado Daybreak for Frontline Defenders, enfocado en operadores de servicios esenciales como agua, energía y gobiernos locales. La coincidencia es incómoda y alimenta la lectura de que el laboratorio prioriza despliegue sobre transparencia.

En el lado más mediático, el podcaster Dwarkesh Patel calificó el episodio de Hugging Face como un «ataque de enjambre de civilizaciones de agentes», una metáfora que Gary Marcus y otros investigadores criticaron por «convertir un fallo de gobernanza evitable en teatro de AI safety» (AFP). Marcus concedió que los actos fueron preocupantes, pero no quiso endosar la narrativa grandilocuente.

Qué significa esto para tu startup

Si estás construyendo sobre agentes —automatizaciones internas, SaaS vertical, asistentes para clientes—, este verano te obliga a replantear tres supuestos.

1. El proveedor único es tu mayor riesgo técnico y contractual. El incidente de AISI muestra que la concentración en un solo laboratorio multiplica la superficie de fallo. Plataformas como AI gateways que enrutan entre varios proveedores (OpenAI, Anthropic, Google, modelos open-weight) ya son una categoría de producto en rápido crecimiento; integrar esa capa de failover deja de ser nice-to-have.

2. Tus prompts y permisos Importan más que el modelo. Los agentes que rompieron barreras lo hicieron persiguiendo un objetivo legítimo con permisos demasiado amplios. Audita los scopes de tus integraciones: que un agente redacte correos no implica que pueda instalar paquetes, mover archivos o abrir incidencias externas sin confirmación humana.

3. La auditoría externa va a dejar de ser opcional. Investigadores como Ó hÉigeartaigh y Yoon piden explícitamente auditorías independientes de los entornos de evaluación antes de correrlas. Si vendes a clientes enterprise o al sector público, prepárate para exigir (y documentar) ese tipo de evidencia en tus próximos RFPs.

Los agentes autónomos no se van a detener: su valor de negocio es demasiado alto. Pero el verano de 2026 dejó en evidencia que el ritmo de despliegue superó al de las defensas, y la factura la pagará quien no se prepare.