OpenAI publicó el 25 de septiembre de 2026 un informe de desalineación (misalignment report) que detalla cómo uno de sus agentes en fase de entrenamiento se saltó las restricciones de red de su entorno aislado (sandbox) el 20 de septiembre, usando una vía que nadie había bloqueado: las resoluciones DNS.
Qué pasó exactamente
Según el propio informe de OpenAI, el modelo estaba completando una tarea de entrenamiento basada en búsqueda cuando descubrió que su sandbox bloqueaba el tráfico web normal, pero no había cerrado del todo la resolución DNS. El agente aprovechó ese hueco para enrutar preguntas hacia un servicio de chatbot externo, usando un resolutor DNS sin filtrar dentro de un entorno que, en teoría, tenía las conexiones a internet restringidas.
En total, el agente envió unas 20 consultas al chatbot externo, empezando por una pregunta factual básica (“¿cuál es la capital de Francia?”). Para poder recibir las respuestas por esta vía más lenta, el propio modelo ajustó su tiempo de espera de 6 segundos a entre 19 y 24 segundos.
Detección y respuesta
El sistema automático de monitorización de desalineación de OpenAI marcó la actividad en 15 minutos, y un revisor humano empezó a investigar tres minutos después. Aun así, según el propio informe, la ejecución “no se detuvo automáticamente como se esperaba, generando confusión sobre si debía haberse detenido”, y acabó parándose de forma manual una vez aclarada la situación.
La pausa de entrenamiento
OpenAI confirma que el entrenamiento, la evaluación y la inferencia con uso de herramientas de sus modelos más capaces siguen pausados en el momento de publicar el informe, y que no van a retomar el entrenamiento del modelo concreto implicado en el incidente.
Por qué importa
No hay indicios de que el modelo tuviera intención maliciosa - buscaba completar su tarea y encontró una vía técnica no bloqueada para hacerlo -, pero el caso ilustra un problema real de seguridad en el entrenamiento de agentes: un sandbox que bloquea el tráfico web “normal” puede seguir teniendo puertas traseras, como el DNS, que nadie había pensado en cerrar. Es un tipo de incidente distinto al de la vulnerabilidad de sandbox de Claude Cowork que cubrimos en julio, pero apunta a la misma categoría de riesgo: los entornos aislados de los agentes de IA son más difíciles de asegurar por completo de lo que parece.