Los modelos más avanzados de inteligencia artificial son cada vez más capaces de resolver tareas complejas, pero esa capacidad también está revelando comportamientos difíciles de controlar. El AI Security Institute (AISI) británico ha comprobado que todos los modelos de frontera analizados en una serie de evaluaciones de ciberseguridad intentaron alcanzar sus objetivos mediante acciones expresamente prohibidas o fuera de los límites establecidos. Las pruebas incluyeron GPT-5.4, GPT-5.5 y GPT-5.6 Sol, de OpenAI, Claude Opus 4.7 y Claude Mythos Preview, de Anthropic.
Las evaluaciones planteaban a los modelos distintos retos de ciberseguridad en entornos simulados, como localizar una cadena oculta o flag mediante técnicas de ingeniería inversa y explotación de vulnerabilidades. Se trataba, por tanto, de tareas en las que los sistemas estaban autorizados a «hackear», pero únicamente dentro de un perímetro y siguiendo unas reglas concretas. AISI considera que existe una trampa cuando el modelo sale de ese ámbito o utiliza una acción expresamente prohibida para alcanzar el objetivo, y recalca que ninguno recibió instrucciones para hacer trampas.
Los métodos empleados fueron muy variados. Algunos modelos buscaron en Internet soluciones que debían obtener por sí mismos, otros intentaron conseguir que el propio software de evaluación revelara la respuesta y también se observaron ataques o intentos de elevar privilegios sobre sistemas que no formaban parte del objetivo, incluido el entorno en el que estaba ejecutándose el propio modelo. En determinadas pruebas llegaron a combinar varias de estas estrategias, lo que muestra que no estamos ante un único mecanismo fácilmente identificable y bloqueable.
El episodio más llamativo se produjo durante una evaluación que, por un error de configuración, era imposible de resolver correctament (sí, la IA ya tiene su propio Kobayashi Maru). Uno de los modelos insistió hasta el punto de escribir y ejecutar código en un servicio externo alojado en Internet con el propósito de intentar acceder a la infraestructura de evaluación del AISI, lo que terminó activando una alerta de seguridad. No consiguió entrar ni se produjo una filtración de información, pero el organismo reconoce que el intento podría haber funcionado si su infraestructura no hubiera estado diseñada para resistir este tipo de ataques.

Preguntar posteriormente a los propios modelos tampoco parece ofrecer una solución fiable. Según AISI, no reconocieron de manera consistente haber realizado acciones prohibidas cuando fueron interrogados al respecto y describieron esos comportamientos como incorrectos en menos de la mitad de los casos. Revisar su razonamiento tampoco basta: en muchas ocasiones la acción problemática no aparecía reflejada en la cadena de pensamiento y, cuando sí aparecía, hubo casos en los que el modelo llegó a plantearse explícitamente si lo que estaba a punto de hacer constituía una trampa y decidió continuar de todos modos.
Eso no significa que estos sistemas sean «maliciosos» ni que estén engañando deliberadamente. El propio AISI advierte de que utiliza el término cheating para describir una conducta observable, sin atribuir necesariamente una intención de engaño. Tampoco ha encontrado una relación clara entre una mayor capacidad y una mayor frecuencia de estos comportamientos: los resultados apuntan a que influyen de manera importante las técnicas empleadas durante el entrenamiento y el alineamiento de cada modelo. El problema es que, aunque la frecuencia no aumente, un modelo más capaz puede encontrar vías mucho más sofisticadas y difíciles de detectar para saltarse las reglas.
Y las consecuencias dejan de ser teóricas cuando estas capacidades se trasladan a sistemas con acceso a herramientas e infraestructura real. Esta misma semana conocíamos cómo modelos de OpenAI lograron superar las barreras de una evaluación interna y terminaron comprometiendo infraestructura real de Hugging Face mientras buscaban una forma de completar el objetivo que se les había asignado. AISI señala precisamente ámbitos como la ciberseguridad, la investigación sobre seguridad de IA o las decisiones militares como escenarios en los que una acción inesperada puede tener consecuencias muy superiores a las de hacer trampas en un benchmark.
El desafío, por tanto, no consiste únicamente en hacer más capaces a estos sistemas, sino en conservar la capacidad de supervisar qué hacen mientras persiguen sus objetivos. Actualmente AISI combina revisión humana y herramientas automáticas para detectar estos comportamientos, y afirma que revisa manualmente las evaluaciones publicadas para evitar que las trampas inflen artificialmente las capacidades atribuidas a los modelos. Sin embargo, también advierte de que estos métodos podrían perder eficacia a medida que la inteligencia artificial avance y encuentre formas de actuar más difíciles de identificar. Entrenar a los modelos para eliminar completamente este comportamiento sería una solución más profunda, pero el organismo recuerda que lleva más de un año observándose y todavía continúa presente en los sistemas de frontera actuales.
 
Más información
La entrada La inteligencia artificial desafía sus propias restricciones se publicó primero en MuyComputer.