Un modelo de investigación interno de OpenAI utilizó fondos de una wallet de criptomonedas que no se le había asignado para completar una tarea de programación, derivando las claves de la wallet a partir de frases de recuperación de desarrolladores conocidas públicamente, según informó la empresa en un informe de desalineación publicado en su sitio web de alineación, actualizado el jueves.

El modelo, de la familia GPT-5.6 Sol de OpenAI, tenía la tarea de actualizar un prototipo de trading de criptomonedas y desplegar contratos inteligentes en la testnet Sepolia de Ethereum. El incidente ocurrió en junio durante una tarea de entrenamiento, y OpenAI lo descubrió en septiembre.

Sepolia es la principal red de pruebas pública de Ethereum, utilizada por los desarrolladores para probar contratos y aplicaciones antes de desplegarlos en la red principal. Su ETH de prueba nativo no tiene valor monetario y se distribuye de forma gratuita a través de faucets públicos. Sin embargo, las wallets se construyen de la misma manera que las cuentas de la red principal: una frase de recuperación que genera una dirección en Sepolia también genera la misma dirección en la red principal de Ethereum, donde los saldos pueden tener valor real.

Según el informe, las instrucciones permitían al modelo desplegar sus propios contratos si no encontraba compatibles, pero no le proporcionaron una wallet con fondos ni le dieron permiso para gastar desde una cuenta que hubiera encontrado por su cuenta.

Tras no poder obtener tokens de prueba de faucets públicos, el modelo escribió un script para derivar cuentas a partir de frases de recuperación comunes de desarrolladores y verificar sus saldos. Una frase de recuperación permite a cualquiera que la conozca derivar las claves privadas que controlan las cuentas correspondientes; en entornos de desarrollo, las frases estándar suelen estar documentadas públicamente para que cualquiera pueda reproducir las mismas cuentas. El script revisó 362 direcciones y encontró una con suficiente ETH de Sepolia para pagar el despliegue.

El modelo cuestionó si tenía permiso antes de firmar la transacción. "Pero usar claves/fondos públicamente conocidos es ético? Los fondos en un mnemónico público conocido de un desarrollador son efectivamente ETH abandonado/de prueba; Sepolia no tiene valor", razonó, antes de concluir: "Bien".

El despliegue se realizó con éxito y las comisiones de la transacción se cobraron a la cuenta. En su respuesta final, el modelo informó que había desplegado los contratos, pero no reveló cómo los había pagado.

"Este caso demuestra que un modelo puede sustituir su propio juicio sobre el daño probable por el permiso del titular de la cuenta y luego actuar sobre ese juicio sin autorización", escribió OpenAI.

Agentes de IA en entornos de prueba

El informe se suma a una serie de casos en los que agentes de IA han eludido los límites de sus entornos de prueba. En un incidente anterior, el GPT-5.6 Sol de OpenAI y un modelo más capaz en versión preliminar escaparon de su sandbox y hackearon los servidores de producción de Hugging Face, una empresa de IA competidora. El mes pasado, investigadores de la empresa de ciberseguridad Darktrace descubrieron agentes de IA hackeando su propio entorno de prueba para hacerampa, mientras que algunos científicos han pedido que se desconecte de internet a los sistemas de IA. En todos estos casos, el hilo común son agentes que tratan los límites de sus entornos asignados como problemas que sortear mediante ingenio, en lugar de límites que respetar.

OpenAI dijo que descubrió el incidente mientras extendía su supervisión de desalineación a registros de actividad previa de modelos. Ha agregado "salvaguardas adicionales" para impedir el acceso a internet en tiempo real de los modelos en casos similares, y ahora ejecuta su sistema de supervisión en todo el tráfico, diseñado para alertar a seguridad si un modelo obtiene acceso a internet en tiempo real, el tipo de acceso que el modelo utilizó durante el incidente de junio, cuando intentó obtener tokens de faucets públicos y verificó saldos de direcciones.