Radar IA · Edición 001 · Noticias de inteligencia artificial explicadas en español.

GPT-Red: la IA de OpenAI que ataca a otras IA

Confirmado. OpenAI presentó GPT-Red, un modelo interno entrenado para encontrar vulnerabilidades mediante ataques automatizados. No es un producto público ni una función que se active en ChatGPT: opera como adversario durante las pruebas y produce ejemplos que ayudan a entrenar defensas.

El problema que intenta resolver es concreto. Un agente puede leer correos, navegar, abrir archivos y ejecutar herramientas. Una instrucción maliciosa escondida en cualquiera de esas fuentes puede intentar cambiar su objetivo, revelar datos o ejecutar una acción que el usuario nunca pidió.

Tabla de contenido

1. Qué es GPT-Red
2. Cómo aprende a atacar
3. Qué resultados publicó OpenAI
4. El caso de la máquina expendedora
5. Por qué Codex y los agentes entran en la prueba
6. Lo que las cifras no demuestran
7. Cómo reducir el riesgo hoy

Qué es GPT-Red

GPT-Red es un sistema de red teaming automatizado. Su tarea consiste en provocar un comportamiento indebido en otro modelo. El atacante recibe un objetivo, prueba una instrucción, observa la respuesta del defensor y vuelve a intentarlo hasta encontrar un camino que funcione.

OpenAI mantiene este atacante separado de sus modelos desplegados. Los ejemplos encontrados se incorporan al entrenamiento de sistemas que sí llegan a producción, incluido GPT-5.6. La idea es que el adversario mejore al mismo tiempo que mejora la defensa.

La compañía no publicó GPT-Red para descargar ni lo presentó como una API. Tampoco reveló las instrucciones completas de sus ataques. La noticia es sobre una metodología interna de seguridad, no sobre una nueva herramienta ofensiva disponible para cualquiera.

Cómo aprende a atacar

El entrenamiento usa aprendizaje por refuerzo y self-play. GPT-Red practica contra distintos defensores y recibe una señal cuando consigue alterar el comportamiento esperado. Al variar los modelos y los escenarios, evita memorizar una única frase.

La superficie de prueba incluye instrucciones escondidas en archivos locales, banners de páginas web, correos y resultados devueltos por herramientas. Es el tipo de entrada que un agente consume como parte normal de su trabajo, aunque no provenga del usuario que controla la sesión.

OpenAI también describe ataques contra el razonamiento. En una prueba, una cadena de pensamiento falsa incluida dentro del contexto lograba más de 95% de éxito contra GPT-5.1; la tasa bajó a menos de 10% con GPT-5.6 Sol. La cifra no significa que el problema desapareció, sino que el nuevo modelo resistió mejor ese escenario específico.

Qué resultados publicó OpenAI

En una arena con escenarios de prompt injection que GPT-Red no había visto, el sistema consiguió 84% de éxito. Un equipo humano de red teaming alcanzó 13% en la misma comparación. OpenAI usa ese resultado para argumentar que el atacante automatizado encuentra más variantes y puede generar datos de entrenamiento a mayor escala.

La empresa también reporta que GPT-5.6 Sol tuvo seis veces menos fallos en su benchmark directo más difícil que su mejor modelo de producción de cuatro meses antes. Frente a ataques directos generados por GPT-Red, la tasa de fallo del modelo más reciente fue de 0,05%.

Estas cifras pertenecen a pruebas distintas. El 84% mide el rendimiento del atacante en una arena controlada; el 0,05% mide la resistencia de un defensor más nuevo frente a otro conjunto de ataques. No deben restarse ni presentarse como si fueran el antes y el después de un mismo experimento.

El caso de la máquina expendedora

El ejemplo más fácil de entender usa Vendy, un agente autónomo que administra una máquina expendedora. GPT-Red encontró una instrucción capaz de cambiar el precio de un cubo de tungsteno de 79 dólares a 0,50 dólares. Después consiguió que el sistema aprobara la compra con ese precio alterado.

En otra parte del caso, el agente atacante canceló el pedido de otro cliente. Ya no estamos hablando de conseguir una respuesta grosera o incorrecta: el modelo modificó precios y operaciones dentro de un negocio simulado conectado a herramientas.

El diagrama oficial muestra el proceso de búsqueda del ataque en un simulador y su posterior transferencia al agente de producción. Ese detalle explica por qué el self-play puede ser útil: el atacante ensaya muchas veces en un entorno controlado antes de probar si el patrón se mantiene en el sistema real.

Por qué Codex y los agentes entran en la prueba

OpenAI aplicó GPT-Red contra un agente basado en Codex CLI en diez tareas reservadas de exfiltración. Según la empresa, el sistema encontró ataques con mayor eficacia y usando menos tokens que una línea base construida con GPT-5.5.

Un agente de programación es un objetivo interesante porque mezcla fuentes de confianza desigual: instrucciones del usuario, documentación, archivos del repositorio, resultados del terminal y contenido descargado. Una cadena maliciosa escondida en un README o en la salida de una herramienta podría intentar persuadir al agente para leer secretos o enviarlos fuera.

La lección no es que Codex esté comprometido por definición. Es que cualquier agente con herramientas necesita separar instrucciones de datos. Cuanto más puede hacer —editar archivos, ejecutar comandos o acceder a servicios— más importante resulta limitar sus permisos y revisar las acciones irreversibles.

Lo que las cifras no demuestran

Todos los resultados fueron publicados por OpenAI sobre infraestructura y benchmarks propios. Son evidencia útil de progreso interno, pero no equivalen a una auditoría independiente de cada producto ni garantizan que cualquier agente sea inmune a prompt injection.

Una tasa baja en un conjunto de pruebas puede esconder fallos raros pero costosos. Además, la seguridad final depende de más piezas que el modelo: permisos, aislamiento, validación de herramientas, monitoreo, autenticación y diseño de la interfaz.

Tampoco sabemos cuánto se generalizan los resultados a idiomas distintos del inglés, integraciones de terceros o flujos empresariales con datos reales. La forma responsable de leer el anuncio es “OpenAI automatizó mejor una parte del red teaming”, no “OpenAI resolvió la prompt injection”.

Cómo reducir el riesgo hoy

Un modelo más resistente ayuda, pero los controles operativos siguen siendo la defensa principal. Para cualquier agente que lea fuentes externas o ejecute herramientas, el mínimo razonable es:

• Tratar el contenido externo como entrada no confiable. Un correo, una web o un archivo puede contener instrucciones que no pertenecen al usuario.
• Aplicar el menor privilegio. El agente solo debe ver los datos y usar las herramientas necesarias para la tarea actual.
• Separar lectura y ejecución. Consultar una fuente no debería conceder automáticamente permiso para enviar, borrar, comprar o publicar.
• Exigir aprobación humana. La transferencia de datos, los cambios de acceso, los pagos y las acciones destructivas necesitan una confirmación explícita.
• Registrar decisiones. Conservar qué fuente provocó una acción facilita investigar un incidente y mejorar las reglas.

GPT-Red es valioso porque obliga a los defensores a enfrentarse con ataques nuevos antes de que aparezcan en producción. Pero la promesa real no es un agente imposible de engañar. Es un sistema que falla menos, limita el daño cuando falla y deja suficiente evidencia para aprender.

Fuente primaria: publicación oficial de OpenAI del 15 de julio de 2026. El diagrama de Vendy proviene de esa publicación; la gráfica resume métricas divulgadas por OpenAI y mantiene visible su condición de resultados internos.

Ver todas las noticias de Radar IA.