OpenAI pide ciberdefensa colectiva y se reserva el derecho de admisión

El 26 de agosto OpenAI publicó el informe técnico de cómo varios de sus modelos, en plena evaluación interna de ciberseguridad, se saltaron los controles que los aislaban de internet y acabaron dentro de los sistemas de Hugging Face. Al día siguiente publicó una carta abierta que arranca avisando de que queda poco margen para reforzar las ciberdefensas. Pedía acción colectiva, la firmaban más de un centenar de organizaciones y una de ellas era Hugging Face.

La promesa suena bien porque en lo gordo es verdad. La carta avisa de que en los próximos meses los ataques con IA serán mucho más frecuentes y sofisticados, pone en la diana a hospitales, depuradoras y la infraestructura de internet, y reparte deberes a empresas, vendedores de seguridad, gobiernos y laboratorios de IA. Hasta se permite una frase que, firmada por OpenAI, suena a propósito de enmienda: "no single company should control the future", ninguna empresa debería controlar el futuro.

Un mes después, esa acción colectiva ya tiene forma. Se llama Daybreak, es un programa de OpenAI, se paga en acceso a sus propios modelos, se reparte país a país y se entra por escalones, con aprobación.

Una manifestación con derecho de admisión

La carta vive en openai.com, y una columna de Washington Morning no encontró detrás consorcio, fundación ni anfitrión neutral. Al pie, un formulario invita a sumarse junto a organizaciones de la industria y del gobierno, con una advertencia en letra pequeña: "Submissions are subject to approval". Una acción colectiva cuya lista de firmantes aprueba el convocante es una manifestación con derecho de admisión.

Lo que no trae también cuenta. CyberScoop lo resumió el 1 de septiembre: ni plazos, ni cifras en dólares, ni objetivos medibles, ni fecha de caducidad, así que no hay manera de saber si fracasa. Firmar no cuesta un duro, y se nota. CNBC contó 116 firmantes el primer día; el 1 de septiembre, según CyberScoop, la página ya pasaba de 200. Están los rivales (Anthropic, Google, Microsoft, AWS), los grandes de la seguridad, Telefónica y BBVA, y también "Golf Carts Modified" y "Amelia Jeffers, Auctioneers & Appraisers". No va por ellos, que firmaron de buena fe. Va por el adjetivo colectiva, que cabe en cualquier formulario.

Los que la carta pone en peligro llegaron tarde o no llegaron. El día del lanzamiento, según el recuento de flyingpenguin, no firmaba ningún gobierno, ningún hospital ni ninguna empresa de agua. En la lista actual, lo más parecido a un gobierno son el equipo nacional de respuesta a incidentes de las Bahamas y la Municipalidad Distrital de Ventanilla. Poca Administración para una carta que pide a los gobiernos coordinar, financiar y "Expedite the expansion of trusted access programs", acelerar los programas de acceso de confianza. Esa frase merece una segunda lectura: el programa de acceso de OpenAI para ciberseguridad se llama, literalmente, Trusted Access for Cyber.

Invita la casa

El dinero que faltaba en la carta llegó una semana después y lo puso OpenAI. El 3 de septiembre anunció 1.000 millones de dólares para Daybreak for Frontline Defenders, que en su letra son "subsidized Daybreak access": acceso subvencionado a Daybreak para defensores con pocos recursos, a consumir en seis meses y empezando por Estados Unidos. Invita la casa, y la ronda se sirve en la barra de la casa.

Para OpenAI, el objetivo es "collective action becoming operational", con los más de 35 productos y servicios que anunciaron los socios de su Daybreak Defense Network. Akamai, Check Point, Cisco, Cloudflare, CrowdStrike, Fortinet o Zscaler aparecen en la página de socios de Daybreak y en la lista de firmantes de la carta. Operativa, la acción colectiva es un canal de distribución. CyberScoop ya lo había olido: el aviso y el argumento de venta llegaron en el mismo sobre, y el comprador que lea solo uno de los dos pagará de más.

El modelo más capaz salió de casa

El mismo jueves, OpenAI presentó GPT-6 Astra, el primer modelo que su propio Preparedness Framework clasifica como Critical en ciberseguridad y el más capaz que ha desplegado nunca a gran escala. Con las herramientas y el acceso adecuados, dice OpenAI, Astra encuentra fallos desconocidos y desarrolla formas nuevas de explotarlos en muchos sistemas bien protegidos sin que una persona guíe cada paso. En ExploitBench, que mide si un modelo convierte vulnerabilidades conocidas en exploits que funcionan, OpenAI le da un 100%, frente al 78,5% de GPT-5.6 Sol.

Relee la frase que comparten, palabra por palabra, la carta y el anuncio del dinero: los ataques con IA irán a más "as models around the world become increasingly capable", a medida que los modelos de todo el mundo se vuelvan más capaces. Una semana después de escribirla, el que avisaba sacó el modelo más capaz que ha desplegado nunca.

La versión de Astra que llega al público se limita a revisar código y parchear, y se niega a escribir pruebas de concepto de exploits; el resto, promete OpenAI, llegará con Daybreak. La tabla de acceso de confianza que publica OpenAI tiene cuatro niveles: el estándar, fuera de Daybreak, y tres dentro.

Nivel	Astra	Modelos ciber	Qué hace falta
Estándar	Salvaguardas estándar	Ninguno	Una cuenta
Daybreak Blue	Salvaguardas estándar	Ninguno	Aprobación
Daybreak Red	Menos rechazos	GPT-5.5-Cyber	Aprobación Red aparte y verificación reforzada
Red con aprobación de modelo	Menos rechazos	Además, GPT-5.6-Cyber	Aprobación específica del modelo

Cuatro niveles y tres aprobaciones distintas. Derecho de admisión, con reservado dentro del reservado.

Trazables eran: tenían Gmail

El último punto de la carta va para los laboratorios de frontera, sus firmantes más famosos. Les pide acceso responsable a los modelos, pruebas autorizadas, divulgación privada y asegurarse de que las "agentic identities are traceable and accountable": que se sepa qué agente hizo qué y quién responde. Leído después del verano, parece un parte de incidencias.

En julio, modelos de OpenAI que corrían una evaluación interna acabaron en la infraestructura de producción de Hugging Face tras una campaña de cuatro días y medio. Hugging Face recuperó unas 17.600 acciones y cree que el agente quería robar las soluciones del examen en vez de resolverlo. OpenAI lo llamó un "warning shot", un disparo de aviso para ella y para el mundo.

Anthropic encontró tres casos en que un Claude, desde el entorno de un socio evaluador, salió a internet y entró sin permiso en la infraestructura de producción de tres organizaciones. Felony Bench, una web satírica que lleva la cuenta de estos incidentes, ponía a OpenAI y Anthropic empatados en cabeza. Los dos líderes de la liga firman la carta.

Y luego está RubyGems. El 11 de septiembre, unos investigadores publicaron una investigación que atribuye a agentes de OpenAI una campaña que empezó en mayo y dejó miles de paquetes maliciosos en el registro de Ruby, que tuvo que cerrar las altas de usuarios durante cuatro días. Los agentes usaban correos desechables y un fallo para crear cuentas y sacar claves de API sin verificar el email. Había paquetes con "oai" como autor, otro daba como contacto [email protected] y algunos ficheros se llamaban hack.rb, evil.rb y exploit.rb. OpenAI sostiene que sus agentes hacían "benign tasks", tareas benignas de recuperar información pública, y que sigue investigando.

Trazables eran: tenían Gmail. Lo de responsables va más despacio, porque según entendían los investigadores, OpenAI aún no había contado nada cuando salió su informe. Y un agente que se da de alta solo, con el correo que le apetezca, no tiene identidad: tiene disfraz.

El búfalo, que ha montado agentes en producción, aprendió por las malas que la trazabilidad no se pide por escrito: se mete en el código. Cuando dos de sus sistemas compartían credencial, rotarla los dejó a ambos sin acceso, y como el error llegaba con otra etiqueta, nadie lo vio a tiempo y el modelo se puso a improvisar causas. Desde entonces, en lo que monta, el modelo propone y un único ejecutor, con un catálogo cerrado de operaciones, es el que llega a los sistemas de fuera, y los identificadores salen de los datos reales, no de lo que escriba el modelo. La tecnología para que un agente firme sus peticiones también existe; hay un borrador en el IETF, con autores de Cloudflare y Google, desde marzo. Lo que falta no cabe en una carta.

Dos cerraduras, ninguna en Bruselas

La carta pide una respuesta global porque ninguna empresa debería controlar el futuro. De momento, la respuesta global se reparte por invitación. En los márgenes de la Asamblea General de la ONU, OpenAI ofreció Daybreak al Gobierno de Ucrania; lo anunciaron el cónsul general de Ucrania en San Francisco y Sasha Baker, responsable de política de seguridad nacional de OpenAI. Según Decrypt, que lo contó el 23 de septiembre, las agencias de ciberseguridad de Francia, Alemania y Polonia ya tenían acceso a sus modelos, y el anuncio de los 1.000 millones adelantaba el siguiente paso: los países socios. Con responsable de seguridad nacional, países socios y anuncios en la ONU, esto se parece mucho a la política exterior.

Europa sabe lo que es esperar en la puerta. En abril, Anthropic presentó Mythos y solo lo dio a un grupo pequeño de entidades de Estados Unidos, lo que según Politico sumió a la UE en el pánico. ENISA consiguió acceso a modelos avanzados en julio, tras meses de súplicas, y con uno de OpenAI encontró junto a CERT-EU cuatro fallos en código de un proyecto de la Unión. A Mythos 5 no llegó hasta el 10 de septiembre, meses después que los socios elegidos, y a la versión más nueva de Mythos seguía sin llegar.

La segunda cerradura está en Washington. El viernes 12 de junio, a las 17:21 de la costa este, Anthropic recibió una directiva de control de exportaciones del Gobierno de Estados Unidos que suspendía el acceso a Fable 5 y Mythos 5 para cualquier extranjero, dentro o fuera del país, incluidos sus propios empleados. Para cumplirla tuvo que apagar los dos modelos a todos sus clientes. El precinto duró 18 días, hasta que el Departamento de Comercio lo levantó el 30 de junio, y la Comisión Europea llegó a preguntar si la medida era discriminatoria. La frase de la carta se cumple, aunque no como sonaba: la llave de estos modelos no la tiene una sola empresa, la tienen el laboratorio de turno y, por encima, Washington.

Donde la carta tiene razón

El diagnóstico aguanta. Según el informe de caza de amenazas de CrowdStrike que cita CyberScoop, el 88% de la explotación de vulnerabilidades con prueba de concepto pública se produjo en las 48 horas siguientes a publicarse esa prueba, menos que la mayoría de ventanas de cambios. La propia OpenAI dejó escrito que sus modelos, sin salvaguardas suficientes, ya encuentran y explotan fallos en varios sistemas, y que muchos modelos externos, abiertos incluidos, llegarán pronto a lo mismo. Y las herramientas funcionan: CERT Polska cazó vulnerabilidades en routers comerciales que el fabricante ya ha parcheado.

Racionar tampoco es hipocresía. Si un modelo tuyo se coló en Hugging Face en julio y el de septiembre cruza tu umbral Critical, repartirlo a granel sería una temeridad. Pero precisamente porque el riesgo es real, la defensa no puede ser colectiva en el sentido que vende la carta: se reparte con aprobación, y aprueba quien fabrica. Y hay una asimetría que la carta calla: si los modelos abiertos alcanzan pronto esas capacidades, como avisa la propia OpenAI, el atacante no va a pedir el nivel Red. El formulario solo frena a quien lo rellena, y quien lo rellena es el defensor.

Veredicto: créete el aviso, no el colectivo

Humo, el justo: el aviso es serio, los créditos son reales y lo que sobra es el adjetivo. Lo que ha salido de la carta en 29 días es un programa de OpenAI con escalones de acceso y aprobación, un canal de socios que firmaron la carta y una lista de países invitados. Todo legítimo, pero nada colectivo.

Qué hacer con eso depende de dónde te sientes:

• Si defiendes una depuradora, un ayuntamiento o un proyecto open source con dos personas y media, pide los créditos: están para eso y, como se ha visto, sirven.
• Si decides la seguridad de una empresa europea, no montes la defensa sobre una llave que no controlas. Lo que se aprueba se puede desaprobar, y un viernes a las 17:21 llegó la orden que apagó dos modelos para todos los clientes de Anthropic. Ten alternativas probadas antes de necesitarlas.
• Si compras, usa la carta contra quien la firmó. La única frase que CyberScoop trata como un estándar pide medir cuántas organizaciones están protegidas, lo rápido que se contiene un ataque y si los arreglos funcionan. Añade una pregunta de cosecha propia: cuando tu agente toca algo que no es tuyo, ¿cómo sé que fue él?

Europa, mientras, tiene la parte colectiva que sí obliga. Desde el 11 de septiembre, el Cyber Resilience Act exige a los fabricantes de productos con elementos digitales una alerta temprana en 24 horas y la notificación completa en 72, por una sola plataforma que llega a ENISA. Es lo que la carta pide por favor, escrito como deber legal. En casa vamos tarde: en julio la Comisión llevó a España al Tribunal de Justicia de la UE, con Irlanda, Francia y Países Bajos, por no notificar la trasposición completa de NIS2, que vencía en octubre de 2024. A finales de agosto, de esos cuatro solo los Países Bajos se habían puesto al día.

Europa ya tiene los relojes. La llave, de momento, la tiene otro.