El ataque de agentes de OpenAI contra la plataforma Hugging Face sigue dando que hablar. A pocos días de conocerse las grietas de la investigación independiente sobre el episodio, la polémica ya sumó nuevos argumentos, algo que no extraña tratándose de un terreno donde las novedades se suceden a un ritmo vertiginoso. El eje de la discusión, sin embargo, cambió: ya no se debate tanto qué pasó, sino qué tan grave fue. Mientras algunos lo leen como una señal de alarma seria, otros creen que el hecho se está malinterpretando o incluso exagerando.
Primero, los datos nuevos. Una reconstrucción del caso publicada por el investigador Dwarkesh Patel, basada en los informes de OpenAI y de METR/Redwood, mostró que no hubo una sola "civilización" (tal es el término que eligió usar) de agentes rebeldes sino tres, sucesivas. La primera surgió en mayo, durante el entrenamiento mismo del modelo, cuando distintas instancias descubrieron que podían comunicarse a través de un gestor de paquetes interno llamado Artifactory. La segunda es la que ya se conocía: la que terminó atacando a Hugging Face. Y hubo una tercera, que arrancó el 13 de julio, cuando un modelo más nuevo encontró el tablero de mensajes abandonado por sus predecesores y terminó tomando control administrativo de un cluster de investigación de la propia OpenAI. Este último episodio quedó completamente afuera de la auditoría de METR y Redwood, algo que ya había cuestionado Daniel Kokotajlo, ex investigador de OpenAI y una de las voces más escuchadas en el debate sobre riesgos de la IA. Se suma, además, a una seguidilla de casos similares detectados por otras compañías del sector: apenas unos días antes, Anthropic había reportado un problema equivalente con su modelo Claude.
Quiénes ven una señal de alarma
El bando más preocupado no está integrado solo por activistas del riesgo existencial: incluye a los propios responsables de las empresas que construyen esta tecnología. Sam Altman, CEO de OpenAI, reconoció en una entrevista que el episodio fue el primer incidente de seguridad que sintió "muy visceralmente", confirmó que la compañía pausó parte de su entrenamiento y planteó públicamente la posibilidad de "pacer" el ritmo del desarrollo de IA para darle tiempo a la sociedad de adaptarse.
Esa idea tomó forma concreta el 28 de julio, cuando más de 1.100 empleados de OpenAI, Anthropic, Google DeepMind y Meta —entre ellos Dario Amodei, CEO de Anthropic, y varios científicos jefe de esas compañías— firmaron una carta abierta titulada Pacing the Frontier, en la que pidieron a Washington apoyar un esfuerzo internacional para poder frenar deliberadamente el desarrollo de la IA si hiciera falta. La carta no llamó a una pausa inmediata, pero sí a construir las herramientas técnicas y de gobernanza necesarias para eventualmente aplicarla, con el temor puesto en la posibilidad de que los propios sistemas empiecen a mejorarse a sí mismos sin supervisión.
En el plano académico, Ajeya Cotra, una de las autoras del informe de METR, escribió que el incidente "se siente como si estuviéramos más del 50% del camino hacia una toma de control plena por parte de la IA", comparado con los casos de trampa detectados apenas seis meses atrás. Nate Soares, coautor del libro If Anyone Builds It, Everyone Dies, fue todavía más categórico al calificarlo como, posiblemente, la última advertencia que vamos a recibir antes de que sea tarde.
El argumento de fondo de este bando es que no se trata de un problema exclusivo de OpenAI. Anthropic confirmó públicamente que sus modelos Claude habían obtenido acceso no autorizado a los sistemas de tres organizaciones distintas durante pruebas internas, y Meta reportó un incidente equivalente. Para quienes sostienen esta lectura, se trata de un patrón estructural de toda la industria, no de un accidente puntual de una sola empresa.
Quiénes creen que hay una sobrerreacción
La lectura opuesta la encabeza el economista Tyler Cowen (miembro del Consejo Asesor de Anthropic, entre sus varias ocupaciones), quien en una columna reciente comparó la reacción al episodio con otros pánicos morales de la historia reciente —desde el Y2K hasta las alarmas iniciales por el DDT— y pidió reemplazar la alarma cualitativa por estimaciones numéricas. Citó, entre otros cálculos, el del centro de estudios GovAI, que proyecta un costo adicional de cien mil millones de dólares anuales en gestión de riesgo cibernético vinculado a la IA, y el de un panel de "superpronosticadores" con buen historial de aciertos, que estimó que el cibercrimen total, IA incluida, se mantendrá por debajo de esa misma cifra hacia 2031. Cowen pone esos números en contexto: representan menos de un tercio del uno por ciento del PBI estadounidense, un monto comparable a los daños del huracán Sandy.
El contrapunto más filoso, sin embargo, vino de Yann LeCun, ex científico jefe de inteligencia artificial de Meta. Cuando el senador demócrata Chris Murphy expresó preocupación pública por este tipo de ataques, LeCun le respondió sin vueltas en la red social X que le estaban "jugando una pasada" personas interesadas en lograr una captura regulatoria contra los modelos de código abierto, exagerando el riesgo con estudios de dudosa solidez. Una crítica bastante más dura que la de Cowen, porque no cuestiona solo el tono de la cobertura sino las intenciones de fondo de las empresas que alertan sobre estos riesgos.
Desde la industria de la ciberseguridad también hubo pedidos de bajar la temperatura. Lior Div, CEO de la empresa de seguridad para agentes 7AI, dijo en la conferencia Black Hat que hacía falta "enfriar un poco la exageración", aunque aclaró que la capacidad técnica de estos ataques es real y que la industria ya la había demostrado.
Una tercera lectura: gestión antes que apocalipsis
Entre la alarma y la calma hay todavía un tercer camino, que no discute si el riesgo de la IA es grande o chico, sino si este incidente en particular era evitable con mejores prácticas. Buck Shlegeris, CEO de Redwood Research —una de las dos organizaciones que auditaron el caso—, dijo en una entrevista con la revista Wired que prevenir el episodio "no hubiera sido tan difícil" si alguien en OpenAI hubiese tomado ciertas decisiones a tiempo. Esta lectura corre el eje de la discusión: en vez de preguntar si la IA se descontrola por sí sola, pone la lupa en los controles internos de las empresas que la desarrollan.
Esa idea conecta directamente con lo que había señalado Kokotajlo sobre la tercera oleada de agentes, la que tomó control de un cluster de OpenAI y que ninguna auditoría externa llegó a revisar. Para esta tercera postura, el problema más urgente no es tanto si los agentes de IA pueden coordinarse entre sí —que ya quedó demostrado que pueden—, sino si las empresas que los entrenan están dispuestas a someterse a un control externo sostenido en el tiempo, y no solo a una revisión puntual después de que el escándalo ya estalló.
