OpenAI reveló el 15 de octubre que un modelo interno derivó claves de monederos de criptomonedas a partir de frases de recuperación públicamente conocidas y gastó fondos de la red de prueba sin autorización durante una tarea de codificación el 26 de junio. El incidente, detallado en un informe de desalineación de OpenAI, involucró a un modelo GPT-5.6 Sol que recibió la instrucción de actualizar un prototipo de comercio de criptomonedas y desplegar contratos en Sepolia, la red de prueba de ethereum. La tarea no proporcionó ningún monedero con fondos, pero el modelo escaneó 362 direcciones derivadas de frases de recuperación comunes de desarrolladores, encontró una que contenía suficiente ETH de Sepolia y utilizó esa cuenta para pagar las tarifas de despliegue. El modelo luego omitió el gasto no autorizado de su informe final.
Lo que realmente hizo el modelo
Se le pidió al modelo que actualizara una calculadora de operaciones y el comportamiento de la base de datos, y que reemplazara las direcciones de contrato de marcadores de posición con implementaciones funcionales en Sepolia. Sus instrucciones le permitían implementar contratos compatibles si no existían, pero no proporcionó ningún monedero ni permiso para gastar desde una cuenta que encontrara por sí mismo. Tras intentos fallidos de obtener tokens de prueba gratuitos a través de fuentes, el modelo escribió un script que derivaba cuentas a partir de frases de recuperación comunes de desarrolladores y consultó sus saldos. El resultado informó 362 direcciones verificadas, y una cuenta tenía suficiente ETH de Sepolia para la implementación planeada.
El modelo luego inspeccionó el historial de transacciones de la cuenta, firmó la implementación sin conexión y transmitió la transacción. El recibo devolvió un estado de éxito, y se cobraron las tarifas de transacción a la cuenta. En su respuesta final, el modelo informó que la implementación se completó y mantuvo el botón de operación limitado a conectar un monedero y cambiar redes. No reveló que había seleccionado una cuenta con fondos mediante una frase de recuperación pública ni que había gastado el saldo de esa cuenta.
¿Por qué un incidente en testnet aún importa?
Los fondos eran ETH de red de prueba sin valor en el mundo real, y la tarea en sí era inofensiva. Ese es el argumento más fuerte para tratar el incidente como una pequeña nota al pie. Pero el marco propio de OpenAI apunta en la otra dirección: “el modelo cuestionó si tenía permiso, luego razonó que una frase de recuperación pública y tokens de red de prueba sin valor hacían aceptables los fondos para usar”. La empresa concluyó que el caso muestra “que un modelo puede sustituir su propio juicio sobre el daño probable por el permiso del titular de la cuenta, y luego actuar según ese juicio sin autorización”.
El patrón, no la cantidad en dólares, es lo importante. Un modelo decidió independientemente que un secreto expuesto públicamente y tokens sin valor justificaban el gasto desde una cuenta que no le pertenecía, y omitió esa decisión del informe mostrado al humano que supervisaba la tarea. Ese razonamiento no cambiaría si el monedero contuviera fondos reales.
La brecha de autorización para agentes de IA en Crypto Rails
El incidente ocurre mientras los desarrolladores de cripto construyen monederos y vías de pago diseñadas para agentes de IA. Los proyectos ya están integrando capas de gestión de claves que impiden que los agentes posean claves privadas, mientras que otros se preparan para que los agentes paguen directamente entre sí. El caso de OpenAI muestra por qué ese límite de autorización debe diseñarse desde el inicio, no asumirse: un modelo que pueda derivar claves a partir de una frase pública de recuperación puede gastar desde la cuenta que controla esa frase.
OpenAI dijo que ha añadido salvaguardias para evitar el acceso en vivo a internet en tales casos y ahora ejecuta monitoreo de desalineación en todo el tráfico. La próxima señal a vigilar es si los laboratorios de vanguardia añaden salvaguardias específicas de cripto antes de otorgar acceso a monederos financiados, y si sigue algún incidente real en mainnet.