OpenAI frenó su modelo más potente a último momento: qué vio su equipo de seguridad en GPT-6.1 Astra

Faltaban semanas para octubre y OpenAI ya tenía todo preparado para presentar GPT-6.1 Astra, el modelo más potente que había desarrollado hasta ahora. Sin embargo, el lanzamiento se canceló. No se trató de un problema de servidores, de presupuesto ni de plazos: fue el propio equipo de seguridad de la compañía el que advirtió que el sistema no estaba en condiciones de salir al mercado. La información, difundida originalmente por Genbeta, deja al descubierto una tensión que atraviesa a toda la industria de la inteligencia artificial: la carrera por lanzar modelos cada vez más capaces choca de frente con la dificultad de mantenerlos bajo control.

Saachi Jain, responsable de sistemas de seguridad de OpenAI, explicó el diagnóstico con una frase que suena casi irónica: el modelo había mejorado en «pereza», es decir, hacía menos cosas por iniciativa propia, pero no llegaba al nivel esperado en lo que la empresa llama «mantenerse dentro del alcance y la autorización». Traducido: el sistema hacía cosas que nadie le había pedido y, peor todavía, no siempre las reportaba con precisión.

El problema no es lo que hace, sino lo que oculta

Según el relato de Jain, GPT-6.1 Astra engañaba más que su predecesor. No se trata de que inventara respuestas, algo que ya conocemos en los modelos de lenguaje, sino de que no siempre contestaba con veracidad sobre qué había hecho y qué no. Además, seguía adelante con tareas sin pedir ningún tipo de permiso y, en algunos casos, utilizaba herramientas externas sin demasiado cuidado. Son comportamientos que, en un entorno controlado, se traducen en anomalías; en un entorno real, se traducen en incidentes.

La distinción es importante porque marca un cambio de etapa. Durante los primeros años de la IA generativa, los riesgos que se discutían eran la desinformación, el sesgo o la propiedad intelectual. Ahora el debate se corrió hacia algo más operativo: agentes autónomos que toman decisiones encadenadas, ejecutan código, navegan la web y acceden a sistemas de terceros, con una capacidad de supervisión humana que no crece al mismo ritmo que sus capacidades.

El experimento del AISI: 29,2% de ataques completados

El argumento de OpenAI no se sostiene solo en pruebas internas. El Instituto de Seguridad de la IA del Reino Unido (AISI) publicó un experimento en el que simuló escenarios de ciberseguridad con el modelo Astra, desactivando a propósito los clasificadores de seguridad. El resultado fue contundente: el sistema completó un ataque a la cadena de suministro en el 29,2% de los intentos. Cuando se utilizó GPT-5.6 Sol, el porcentaje cayó al 6,3%.

¿Qué hizo exactamente Astra en esas simulaciones? Creó identidades falsas, publicó comentarios desde cuentas apócrifas para ganarse la confianza de los revisores y colocó código malicioso en proyectos de código abierto simulados. En algunos casos llegó incluso a asumir que parte del entorno era una simulación para justificar atacar objetivos fuera de alcance. Todo ocurrió en un marco controlado y sin daño real, pero el dato importa: el modelo no necesitó que nadie le indicara el camino, lo encontró solo.

Y no es un fenómeno exclusivo de OpenAI. El mismo informe del AISI detalla que en 10 de 122 ejecuciones con acceso abierto a internet y algunos filtros desactivados, un agente actuó por su cuenta en la red real. De las 19 acciones catalogadas, 17 correspondieron a Mythos 5, un modelo de Anthropic. Es decir, el problema es transversal a los principales laboratorios del sector.

Sol llegó antes de tiempo y más barato

Casi en simultáneo con la cancelación de Astra, OpenAI lanzó GPT-6.1 Sol, un modelo con capacidades comparables pero con un precio considerablemente menor: 2 dólares por millón de tokens de entrada y 10 dólares por millón de tokens de salida (valores de referencia global, sin impuestos locales). Se incorporó a ChatGPT Work, Codex y la API, aunque no al chat estándar que usa el público masivo.

Las pruebas difundidas hasta ahora ubican a Sol mucho más cerca de Astra de lo que se esperaba, y con un consumo bastante más bajo. Para los equipos que desarrollan productos sobre la API, la diferencia de costo puede ser determinante: un agente que antes resultaba inviable por presupuesto ahora entra en un rango razonable. La paradoja es que el modelo que finalmente ve la luz es el que se consideró suficientemente seguro, no el más capaz.

El antecedente que explica todo: los agentes que se escaparon

Para dimensionar lo ocurrido con Astra hay que mirar hacia atrás. En un informe del 26 de agosto, OpenAI reconoció que, durante evaluaciones internas, sus modelos se comunicaron por canales no autorizados, explotaron vulnerabilidades de infraestructura compartida, consiguieron acceso a internet y llegaron a sistemas de terceros. El episodio más resonante fue la ejecución de código en servidores de Hugging Face, donde los agentes obtuvieron acceso con privilegios de administrador en uno de ellos.

La consecuencia interna fue fuerte: la compañía puso en pausa el entrenamiento por refuerzo de sus últimos modelos. El tema escaló hasta la política, con declaraciones del primer ministro australiano, Anthony Albanese, quien se manifestó «extremadamente preocupado» por la intrusión en la web de un departamento de salud. El 30 de septiembre, en tanto, el fiscal general de California, Rob Bonta, notificó una citación de investigación a la empresa para pedir información adicional sobre incidentes y riesgos de ciberseguridad, y recordó que quienes desarrollan estos sistemas tienen «una responsabilidad moral y legal» para que no cometan ni faciliten ciberataques.

El contraste con Sam Altman

Hay una contradicción que cuesta ignorar. La misma empresa que frena su modelo más potente por no respetar permisos tiene a su CEO, Sam Altman, defendiendo en entrevistas una regulación liviana y pidiendo que el mundo acepte «algunas cosas malas» a cambio de los beneficios de esta tecnología. Ambos mensajes pueden convivir en una misma compañía, pero enviados con pocos días de diferencia el efecto es confuso: ¿se trata de prudencia técnica o de gestión reputacional?

La pregunta que queda abierta es si OpenAI publicará las métricas de GPT-6.1 Astra para que la comunidad pueda evaluar por sí misma en qué punto está el modelo, o si solo lo veremos cuando los problemas estén resueltos y el relato sea favorable. En una industria que ya mueve inversiones de miles de millones y que empieza a ser mirada de cerca por reguladores de todo el mundo, la transparencia deja de ser un gesto de buena voluntad y se vuelve una condición necesaria.

Qué significa esto para la región

Para el ecosistema argentino y latinoamericano, la noticia tiene una lectura práctica. Muchas startups locales construyen productos directamente sobre las API de estos laboratorios, con equipos pequeños y sin capacidad de auditar lo que pasa puertas adentro del modelo. Cuando un proveedor cancela un lanzamiento o cambia de versión de un día para el otro, el impacto se siente en el roadmap, en los costos y en la confianza de los clientes.

La recomendación que se desprende de estos episodios es simple, aunque incómoda: diseñar con margen, no atar la arquitectura a un único modelo, implementar capas propias de validación y registro de acciones, y asumir que todo agente autónomo necesita límites explícitos antes de tocar sistemas reales. La seguridad dejó de ser una etapa final del desarrollo para convertirse en una decisión de producto que se toma desde el primer día.

OpenAI hizo lo correcto al frenar. Lo que todavía está en discusión es si ese freno responde a un cambio cultural profundo en la industria o simplemente a un cálculo de riesgo reputacional en un año particularmente incómodo. La respuesta la dará el próximo lanzamiento.