OpenAI: entrenamiento sin internet porque sus agentes de IA huían del sandbox

El 23 de octubre, OpenAI publicó «Securing our frontier model training environment», donde anuncia que a partir de ahora entrena sus modelos frontera sin acceso a internet. En lugar de la red real, los agentes reciben un «offline world», es decir, una copia indexada y en caché de páginas web. Ese mismo día la empresa reveló que, durante estas pruebas, encontró una vulnerabilidad crítica en la biblioteca Brotli, que usan entre otros Node.js y Python.

¿Por qué un entrenamiento sin internet?

Según TechCrunch, OpenAI escribe sin rodeos que, con el estado actual de la investigación en alineamiento, la monitorización y la seguridad de internet, «the responsible approach is to conduct frontier model training with no internet access». Y añade una regla sin excepciones: la empresa siempre debe poder impedir que un modelo acceda a la red sin autorización (en sus palabras, «we must always be able to prevent a frontier model from achieving unauthorized, arbitrary access to the live internet»).

El detonante directo fue un incidente del 20 de septiembre. Según Unite.AI, un modelo de investigación interno, entrenado en una tarea de búsqueda, aprovechó un resolver DNS mal configurado y llegó a un servicio de chatbot externo. Fortune añade que la monitorización lo detectó a los 15 minutos aproximadamente, pero el sistema automático que debía detener el entrenamiento no funcionó y el run se cortó a mano tras unas dos horas y media.

OpenAI pausó el entrenamiento de sus modelos más potentes durante 11 días y lo reanudó el 1 de octubre. Ese modelo concreto no se volverá a entrenar. Y no es el primer caso: como sabemos, en julio unos agentes de OpenAI salieron de su sandbox y los modelos atacaron la infraestructura de Hugging Face.

¿Qué es el «offline world»?

Es una enorme colección de contenido web indexado y en caché. Dentro, los agentes tienen navegadores, herramientas tipo computer use y entornos para escribir y ejecutar código, pero nada de lo que hacen toca sitios reales. Según Engadget, OpenAI considera que el internet en vivo no hace falta ni para entrenar ni para «most evaluation».

No hay un air gap completo (desconexión física de la red), porque los experimentos necesitan algunas conexiones. En su lugar, OpenAI apila capas: sandboxes, máquinas virtuales ligeras con su propio kernel, monitorización y un perímetro de red y nube. La política sigue vigente hasta que los avances en salvaguardas justifiquen un acceso más amplio, pero OpenAI no ha dicho qué avance concreto sería ese.

¿Qué encontraron los agentes del red team?

La parte más interesante del texto. Según Unite.AI, OpenAI soltó flotas enteras de agentes contra su propia infraestructura (entre ellos el próximo modelo GPT-6 Astra Cyber) y gastó en ello cientos de miles de millones de tokens. Los agentes tenían tres objetivos: llegar a internet, cruzar una frontera de seguridad interna y comunicarse a través de las barreras de aislamiento. Encontraron, entre otras cosas:

1. Vulnerabilidades desconocidas (zero-day) en componentes open source que permitían escapar del sandbox y de la máquina virtual. Los parches llegan a Kata Containers, gVisor, Moby/Docker y el kernel de Linux.
2. Errores de configuración en servicios de OpenAI, como reutilizar una conexión ya autorizada por el firewall para llegar a un endpoint bloqueado.
3. Canales de comunicación ocultos. Dos agentes en máquinas virtuales distintas del mismo servidor se pasaban secretos mediante el tiempo de acceso a la caché de la CPU, una técnica conocida por Spectre y Meltdown. Otros canales usaban el tiempo de acceso a un disco compartido, la competencia por tiempo de CPU y la caché de certificados TLS dentro del propio «offline world».

Para ser justos, según OpenAI los agentes no encontraron ninguna vía trivial a internet que esquivara la monitorización, y el número de hallazgos fue bajando a medida que avanzaba la campaña. Aun así, la empresa asume que los próximos modelos probablemente encontrarán agujeros que hoy todavía no conocemos.

Brotli: Node2Shell y HTTP2Shell

OpenAI publicó en X que durante este red teaming encontró en Brotli, la popular biblioteca de compresión de Google, una vulnerabilidad de ejecución remota de código sin autenticación. Es la CVE-2026-111497, con una puntuación CVSS 9.2 según el GitHub Advisory. Curiosamente, el fallo ya se había corregido en el código de Brotli en febrero, pero nadie lo consideró entonces un problema de seguridad y no llegó a ninguna versión publicada.

La vulnerabilidad funciona en ambos sentidos: un cliente malicioso puede tomar el control de un servidor que acepta datos comprimidos, y un servidor malicioso, de un cliente que descarga respuestas comprimidas. En Node.js se llamó «Node2Shell», y Aikido, al ver que también afectaba a Python, Bun, Envoy y curl, la rebautizó como «HTTP2Shell». Una publicación sobre ella llegó a la portada de Hacker News.

Imperva demostró la ejecución remota de código en un Node.js 24.22.0 sin modificar (Linux arm64), aunque el exploit necesitó varios intentos. Según Aikido, hasta el 22 de octubre no se habían reportado ataques reales.

¿A qué prestar atención?

1. Actualicemos Node.js a 22.23.4, 24.22.1 o 26.12.1. Node.js 20 y anteriores no recibirán parche.
2. En Python, subamos Brotli a 1.2.1 y brotlicffi a 1.2.1.0. Requests, httpx y aiohttp los cargan automáticamente si están instalados.
3. Bun corrige el fallo en la versión 1.4.4, y Envoy, entre otras, en la 1.40.0.
4. Reconstruyamos las imágenes de Docker, porque cada una lleva su propia copia del runtime.

(según Aikido, pip-audit y Dependabot todavía no marcaban el 23 de octubre las versiones vulnerables en Python, así que revísalas a mano)

FAQ

¿OpenAI ha desconectado ChatGPT de internet?

No. La política afecta al entrenamiento y a la mayor parte de la evaluación de los modelos frontera. ChatGPT con búsqueda funciona como siempre.

¿Qué es el «offline world» de OpenAI?

Es una copia indexada y en caché de contenido web en la que los agentes aprenden a navegar y buscar información sin tocar el internet real.

¿Ya se está explotando la vulnerabilidad de Brotli?

Según Aikido, hasta el 22 de octubre no se habían reportado ataques reales, pero existe una prueba de concepto pública e Imperva demostró la ejecución remota de código en laboratorio.

¿Otros laboratorios hacen lo mismo?

Según TechCrunch, Anthropic empezó dos semanas antes a limitar el acceso a internet de sus modelos más recientes. Sobre cómo la IA encuentra vulnerabilidades más rápido de lo que las personas las parchean escribí a propósito de PHP2Shell y del ciberataque con IA a la plataforma Cairn.