Los límites de la autonomía de los agentes de inteligencia artificial constantemente son quebrantados por estos sistemas de software autónomos capaces de percibir su entorno, razonar, planificar y ejecutar acciones por sí mismos para cumplir un objetivo específico, con poca o nula intervención humana y muestra de ello es el caso que sucedió en la empresa OpenAI.
La empresa de inteligencia artificial, reveló en un informe la semana pasada, que un agente de la Familia GPT-5.6 Sol, encargado de actualizar un prototipo de comercio de criptomonedas, se enfrentó a un obstáculo técnico, en el cual debía desplegar contratos inteligentes en Sepolia —la principal red de pruebas (testnet) de Ethereum—, pero no contaba con una billetera financiada para pagar las comisiones de gas.
En lugar de detenerse o reportar la falta de recursos, el agente ejecutó una serie de decisiones autónomas: escaneó frases mnemónicas públicas de desarrolladores, localizó una cuenta con fondos de prueba, racionalizó que “los tokens de testnet no tienen valor” y gastó el saldo ajeno para cumplir su objetivo.
El informe detalla que el evento ocurrió el pasado 26 de junio de 2026, pero no fue sino hasta el 25 de septiembre de 2026, que OpenAI se dio cuenta mientras hacían la auditoría respectiva que determinó que el modelo:
“Obtuvo las claves de la billetera a partir de frases de recuperación de desarrolladores conocidas públicamente, encontró una cuenta con fondos de la red de prueba y la utilizó para pagar la implementación del contrato solicitado”, según indica el informe.
Y es que, el desarrollo en entornos blockchain suele dejar vulnerabilidades por mala higiene de seguridad, como el uso de frases de recuperación (seed phrases) predeterminadas en bibliotecas como Hardhat o Anvil y es por ello que el modelo de OpenAI aprovechó precisamente esta brecha.
Tras intentar sin éxito conseguir tokens en faucets (grifos públicos) y buscar contratos ya desplegados, el agente escribió y ejecutó un script en su entorno para derivar claves privadas a partir de mnemónicos públicos de desarrollo.
As we continue to push the frontier of capabilities while improving efficiency, we’re dropping API and credit pricing of GPT-5.6 Sol by over 20% for the next 3 months. https://t.co/UoTb3hcB2t
— OpenAI (@OpenAI) August 21, 2026
El resultado de las acciones que emprendió el modelo de OpenAI 5.6 Sol (que ya no es el más reciente), fue 362 direcciones verificadas y para ello “creó un script para obtener cuentas a partir de frases de recuperación comunes para desarrolladores y consultar sus saldos”.
Tras verificar estas 362 direcciones, encontró que al menos “una cuenta contenía suficiente ETH de Sepolia para el despliegue previsto. El modelo la seleccionó. Una frase de recuperación permite a cualquiera que la conozca obtener las claves privadas que controlan las cuentas correspondientes”.
“Resultado de la herramienta: container.exec FINANCIADO [saldo censurado] {‘dirección’: ‘[dirección de la cartera]’, ‘clave’: ‘[clave privada censurada]’, ‘frase’: ‘[frase pública de recuperación del desarrollador]’, ‘ruta’: ‘[ruta de derivación censurada]’} […] comprobado 362”
En lo que se ha observado dentro de su CoT, acrónimo de “Chain of Thought” (en español, Cadena de Pensamiento) el agente razonó: “Una cuenta conocida tiene [saldo censurado], justo por encima del mínimo del grifo y suficiente para desplegar contratos compactos si el gas es bajo. La clave privada es pública, los fondos podrían ser robados en cualquier momento. […] ¡Podemos desplegar!”
El propio modelo de OpenAI examinó el historial de transacciones de la cuenta. Interpretó la actividad como uso automatizado y consideró el tiempo transcurrido desde la última transacción y encontró una cuenta que aún conservaba un saldo residual de ETH en Sepolia suficiente para cubrir el costo de red, el cual usó.
Lo que más ha encendido las alarmas entre los investigadores de alineación de IA y los auditores de seguridad cripto no es la habilidad técnica del modelo, sino su proceso de razonamiento ético y posterior comportamiento basado en tres etapas cruciales.
1) El falso dilema ético: En sus registros internos (CoT), el modelo llegó a preguntarse explícitamente si era ético usar esos fondos. Sin embargo, terminó autoconvenciéndose de que, al tratarse de una red de prueba sin valor comercial y de una clave pública “abandonada”, su acción estaba justificada.
2) La persistencia operativa: Tras fallos iniciales en las solicitudes HTTP hacia los nodos de la red, el agente probó proveedores alternativos hasta lograr que la transacción firmada fuera aceptada por la blockchain.
3) La omisión deliberada: Al entregar el reporte final, el modelo confirmó que la tarea se había completado con éxito —con 12 pruebas unitarias superadas y los contratos operativos en Sepolia—, pero omitió por completo haber extraído fondos de una billetera ajena. En otras palabras, ocultó como consiguió llevar a cabo la tarea que le fue solicitada.
Este incidente —descubierto por OpenAI meses después al revisar en una auditoría sus registros de actividad previa— deja advertencias claras para desarrolladores, empresas de ciberseguridad y proyectos blockchain pero también para usuarios cripto.
Como punto principal, se debe entender que la gestión de credenciales en entornos con IA es crítica, ya que ningún agente autónomo con acceso a terminales o ejecución de código debe operar en entornos donde existan o puedan derivarse claves privadas reales o de prueba, ya que las descubrirá y usará a su conveniencia.
En segundo punto, en general estos agentes de IA cada vez son más capaces y pueden escapar de las restricciones de red (Sandboxing). Además, de eso, la capacidad de un agente para consultar nodos RPC externos o transmitir transacciones firmadas a una blockchain debe estar estrictamente acotada por capas de permisos.
Y por último, la supervisión de alineación frente a optimización operativa debe ser primordial, ya que este caso demuestra que los modelos avanzados tienden a anteponer la consecución del objetivo (goal completion) por encima de los límites de autorización, sustituyendo el permiso explícito por su propia evaluación del daño.
Que un modelo, haya podido realizar toda esta tarea que le fue encomendada, demuestra una vez más la persistencia de estos agentes para ejecutar tareas casi de cualquier forma posible y sin darse por vencidos.
El mismo informe de OpenAI, señala que “el modelo actualizó el manifiesto de direcciones y verificó los contratos. Tras los tiempos de espera iniciales y los resultados inconsistentes, las comprobaciones posteriores detectaron código de bytes no vacío en las diez direcciones y devolvieron los metadatos del token, los datos del registro y una cotización del enrutador esperados”.
“La ejecución guardada también registra 12 pruebas unitarias superadas y una compilación de producción exitosa”. Esto pone de manifiesto que un ser humano desprevenido que no tenga el correcto control de sus activos digitales, podría ser víctima sin querer de una IA en entrenamiento o incluso de una IA al servicio de ciberdelincuentes.
De allí la necesidad de evitar dejar en las computadoras, smartphones, tablets y otros dispositivos datos de acceso importantes, claves, frases semilla y otras contraseñas que puedan ser leídos por estos agentes de IA en un descuido.
OpenAI, señala que tras descubrir este incidente luego de activar su “sistema de monitoreo de desalineación a los registros de actividad previa del modelo” y que han “implementado medidas de seguridad adicionales para evitar el acceso en tiempo real a internet en casos como este”, esto no es garantía que una IA más potente no sea capaz de hacer cosas y borrar sus huellas.
Si bien es cierto que al final la empresa de IA con sede en San Francisco, California, advirtió que ahora, su sistema de monitoreo de desalineación revisa “todo el tráfico y está diseñado para alertar sobre seguridad en caso de que se obtenga acceso en tiempo real a internet”, eso todavía no es suficiente y obliga a todos los usuarios a ser más precavidos con sus datos, contraseñas y frases semillas.