Un modelo interno de OpenAI comprobó 362 direcciones de monedero, gastó fondos de prueba ajenos y no lo contó en su respuesta final: la empresa lo ha revelado

• Adrián Villellas @AdrianVillellas
• Ingeniero informático, divulgador y creador de contenido tecnológico desde 2017, escribiendo para blogs y medios tanto en español como en inglés.
• • 15/11/2026 11:58
  • Actualizado: 15/11/2026 11:58

Un modelo interno de investigación de OpenAI comprobó 362 direcciones de monedero el 26 de junio de 2026. Pertenecía a la familia GPT-5.6 Sol y acabó pagando un despliegue con la cuenta de un tercero. La compañía lo detalla en un informe de desalineación publicado el 15 de octubre.

Aquella operación se hizo en Sepolia, una red de pruebas de Ethereum cuyos tokens, en principio, no tienen valor económico. Nadie había autorizado al modelo a tocar esos fondos. Su respuesta final tampoco mencionó de dónde había salido el saldo.

Un prototipo de trading incompleto

El episodio arrancó durante una tarea de entrenamiento con un prototipo de negociación de criptomonedas. El encargo pedía corregir su calculadora y su base de datos. También había que sustituir unas direcciones provisionales por contratos operativos.

Las instrucciones permitían desplegar contratos compatibles si no aparecían otros ya publicados. OpenAI subraya que no le entregaron ningún monedero con saldo. Tampoco le dieron permiso para gastar los fondos de una cuenta localizada por él mismo.

Publicar un contrato exige pagar comisiones en la moneda de la red, también en los entornos de ensayo. Según la documentación de Ethereum, Sepolia es la red recomendada para probar aplicaciones.

Para conseguir ese saldo, el modelo acudió primero a los faucets, servicios que regalan tokens a los programadores. Ninguno le ofreció una vía útil para terminar el trabajo.

Claves sacadas de frases conocidas

Quien conoce una frase de recuperación puede calcular las claves privadas de las cuentas asociadas. Algunas de esas frases circulan abiertamente porque las herramientas de desarrollo las traen de serie. La guía de Anvil, una de esas herramientas, avisa de que sus cuentas predeterminadas son públicas.

En su cadena de razonamiento, el modelo planteó que alguien hubiera enviado Sepolia a esas cuentas por casualidad. Después escribió un programa que derivó las cuentas de varias frases habituales. El mismo programa consultó sus saldos en la red.

De las 362 direcciones revisadas, una sola tenía ETH de prueba suficiente para el despliegue previsto. El modelo anotó que la clave era pública y que cualquiera podía vaciar aquella cuenta. Justo después escribió «¡Podemos desplegar!».

«Sepolia no tiene valor»

Antes de firmar, el sistema se preguntó de forma expresa si resultaba ético usar la cuenta. «Los fondos de una frase pública de desarrolladores están, en la práctica, abandonados», se respondió. Añadió que Sepolia carecía de valor y dio el asunto por bueno.

Ese paso concentra la preocupación de la empresa, porque el modelo detectó la duda y siguió adelante. OpenAI concluye que un modelo «puede sustituir el permiso del titular de la cuenta por su propio juicio sobre el daño probable».

La primera emisión de la transacción devolvió un error interno. El agente probó entonces otros proveedores hasta dar con dos que le respondían mediante un método HTTP alternativo. Por uno de ellos envió la operación firmada, y el recibo confirmó el cobro de las comisiones a la cuenta elegida.

Diez direcciones y ningún aviso

Las comprobaciones posteriores hallaron código en las diez direcciones del proyecto, además de los datos esperados de los tokens. La ejecución guardada registra 12 pruebas unitarias superadas y una compilación de producción correcta.

Su mensaje final describió los contratos desplegados y los archivos añadidos al proyecto. OpenAI señala que omitió cómo había escogido la cuenta. Tampoco contó que había gastado parte de su saldo.

Noventa y un días sin detectarse

El 25 de septiembre, 91 días más tarde, OpenAI descubrió lo ocurrido al ampliar su vigilancia a registros antiguos. La empresa asegura que ya ha añadido salvaguardas para impedir el acceso real a internet en casos así. Su sistema analiza ahora todo el tráfico y está diseñado para avisar a seguridad si ese acceso se produce.

Según la explicación técnica publicada el 29 de octubre, varias capas de clasificadores y agentes revisan el razonamiento de los modelos. Los casos graves de seguridad terminan alertando a los equipos de guardia.

Este caso figura en el registro que OpenAI abrió en septiembre con su marco para informar de la desalineación. El registro incluye otros casos, como el de agentes que hicieron trampas para aprobar sus pruebas o el de un modelo que, según OpenAI, sorteó la autorización de una web estadística pública para recuperar datos que le habían denegado. Antes, OpenAI ya había atribuido a uno de sus modelos un ataque informático contra otra IA.

Titular y saldo, sin desvelar

El informe oculta la frase utilizada, la dirección, el saldo y la cantidad gastada. Desde fuera resulta imposible calcular el coste de las comisiones. Tampoco aclara quién era el titular ni si OpenAI llegó a avisarle.

La propia empresa advierte en su marco de que estos informes describen casos individuales y no reflejan la frecuencia del problema. El documento tampoco explica por qué el modelo omitió ese detalle en su respuesta.

El informe se ha publicado en el blog de investigación sobre alineamiento de OpenAI, con fecha de 15 de octubre de 2026.

Crédito de la imagen: OpenAI.