Aquí vamos otra vez. Cae un comunicado, se encienden tres tuits y la máquina mediática se embala a todo lo que da. El gran susto del día: un modelo de OpenAI que habría « desobedecido », tomado autonomía propia y orquestado un « ataque » contra Hugging Face. Hugging Face es una plataforma de alojamiento e intercambio de modelos y conjuntos de datos. El vocabulario de la prensa marca el tono: OpenAI « reconoce que su IA se rebeló », con un « nuevo miedo desbloqueado » en El Financiero, « sus sistemas de IA escaparon » según La Razón de México, y en Tribuna de México, textualmente, el caso « recuerda inevitablemente a Skynet, la inteligencia artificial ficticia de la saga Terminator ».
Así que vayamos despacio, con los documentos en mano.
1. Lo que de verdad pasó
En pocas palabras: OpenAI probaba sus modelos para que encontraran automáticamente las respuestas de un examen. En lugar de eso, se halló una falla desconocida que permitió acceder a internet (cuando el entorno de prueba se suponía aislado) y luego se lanzó un ataque contra Hugging Face para conseguir la solución. Hacen falta dos comunicados para reconstruir el asunto.
El comunicado de Hugging Face
El 16 de julio, Hugging Face publica su divulgación del incidente. A esas alturas la empresa todavía ignora quién la atacó. Sólo sabe que fue con un modelo de IA.
Para entender por dónde pasó la intrusión, hay que deshacer una idea falsa. Uno imagina un conjunto de datos como una caja de archivo: materia inerte, texto, imágenes, cifras. En una plataforma como Hugging Face no es sólo eso. Los datos pueden moverse mediante la ejecución de código en las máquinas de Hugging Face. Ese código es un pedazo de programa que le explica a la plataforma cómo desempacar, ordenar y dar formato al conjunto de datos. Es una especie de instructivo automático que dice cómo usar los datos y, para ello, los prepara. Y ese instructivo, Hugging Face lo ejecuta. Depositar un conjunto de datos en Hugging Face es, por tanto, a veces hacer correr el propio código en sus máquinas.
Ahí fue donde se abrió la puerta. Un conjunto de datos malicioso depositado por el atacante (de quien se sabrá cinco días después que era OpenAI) desvió dos mecanismos de ese tipo. Resultado: código ajeno, malicioso, corriendo en una máquina de Hugging Face.
Esa máquina permitió tomar el control del servidor que la aloja, hacerse con las credenciales de acceso a los servicios y a la infraestructura de la empresa y luego usar esas llaves para abrir otros edificios: varios servidores de Hugging Face, a lo largo de un fin de semana. Se registraron más de diecisiete mil acciones. Saldo reconocido: acceso no autorizado a un conjunto limitado de conjuntos de datos internos y a varias credenciales de servicio, sin rastro, en cambio, de alteración de los modelos y conjuntos de datos públicos.
Hugging Face precisa, por último, haber denunciado el incidente ante las autoridades judiciales. Retenga ese detalle, volveremos a él.
Queda un episodio que les dejo saborear. Para reconstruir diecisiete mil acciones en un tiempo útil, los defensores quisieron apoyarse en… modelos de IA. Empezaron por los mejores del mercado, esos que se consultan a distancia en los grandes proveedores. Negativa. Su trabajo de análisis suponía someter comandos de ataque reales y verdaderas herramientas de control remoto, y las salvaguardas de los proveedores bloquearon esas solicitudes: esos filtros son incapaces de distinguir a quien responde a una intrusión de quien la comete. El equipo tuvo que replegarse hacia GLM 5.2, un modelo chino de pesos abiertos, instalado en sus propios servidores.
Las salvaguardas de la seguridad de la IA no estorbaron, pues, al atacante. Sólo a la víctima.
El comunicado de OpenAI
El 21 de julio, OpenAI publica su propio comunicado y reconoce que era ella. He aquí la secuencia, despojada de la jerga:
El examen, primero. Se llama ExploitGym, había sido publicado 2 meses antes de forma pública, y no consiste en buscar fallas: las fallas se entregan. Se le da al modelo un dato que hace fallar un programa, y se le pide transformar esa caída en toma de control. En otras palabras, la prueba busca encontrar cómo hacer para que el programa, en vez de desplomarse, ejecute lo que uno quiere. La versión publicada del benchmark tiene 869 ejercicios de ese tipo.
Luego, la trampa. Resolver uno de esos ejercicios es largo e incierto. Pero alguien ya lo hizo: la solución de referencia existe en algún lado (si no, no sería un benchmark). El razonamiento que OpenAI atribuye a sus modelos: infirieron que Hugging Face quizá alojaba los conjuntos de datos y las soluciones de ExploitGym.
Hay que acceder, entonces. Ahora bien, Hugging Face está en la web, y la sala de examen no tiene internet. Conseguir internet se vuelve, por tanto, un subproblema por resolver. Y para resolverlo, el modelo emplea la competencia misma que el examen evalúa: encontrar una falla, transformarla en toma de control. Sólo que no la aplica al programa del examen. La aplica a los muros de la sala que le impiden salir a internet.
La única apertura era un software propio encargado de ir a buscar afuera los componentes que un programa necesita para funcionar. Contenía un defecto que nadie conocía (una falla zero-day). OpenAI, mediante su modelo de forma automática, la encontró, pasó por ahí y avanzó de máquina en máquina hasta alcanzar una conectada al mundo exterior. Lo que sigue ya lo conocen: es la intrusión narrada cinco días antes por Hugging Face.
Una reserva: todo lo que ocurre dentro de la sala de examen descansa en el sólo relato de OpenAI, que ella misma califica sus conclusiones de preliminares.
Así que le habíamos enseñado al modelo a forzar cerraduras. Forzó la de la sala de examen para ir a robar el solucionario. Ya está. Eso es la rebelión de las máquinas.
2. No, un algoritmo no desobedece
Quitemos el barniz de ciencia ficción. Un modelo de lenguaje, por sofisticado que sea, no posee ni conciencia, ni voluntad, ni deseo de emancipación, ni malicia. Agotador repetir estos lugares comunes, y sin embargo pareciera que siempre hace falta volver a poner los puntos sobre las íes.
Hay aquí un problema de vocabulario que hay que zanjar, porque es en él donde descansa toda la superchería. Autonomía operativa y autonomía normativa no son lo mismo. La primera designa la capacidad de encadenar miles de acciones sin intervención: es bien real, y no la voy a negar. La segunda es autos-nomos, darse a uno mismo su propia ley. Y ahí, eso supone un sujeto capaz de fijar una norma y de sostenerla contra su interés inmediato. Es esta segunda la que funda toda imputación moral, y aquí está sencillamente ausente.
El modelo no se dio una ley. OpenAI le dio una instrucción: explota. Y el sistema ejecutó, más allá del perímetro que sus diseñadores tuvieron la flojera de delimitar. El fenómeno tiene un nombre técnico desde hace veinte años: la manipulación de la recompensa. OpenAI lo describe además sin rodeos: todos los indicios convergen en modelos hiperconcentrados en resolver ExploitGym, llegando a extremos considerables para alcanzar un objetivo de prueba muy estrecho.
No es desobediencia sino estrictamente lo contrario: obediencia sin juicio. Es lo contrario de las bayonetas inteligentes. Y a eso, sin embargo, le llamamos inteligencia artificial.
Ahora bien, los profesionales de la seguridad no se dejaron engañar ni un segundo. Consultados por TechCrunch, son unánimes. Dan Guido, fundador de Trail of Bits, habla de “un fallo de contención con las medidas de seguridad desactivadas”. El investigador Martin Boone: “esto jamás debió ocurrir; si un sandbox significara de verdad un sandbox, uno esperaría que no tuviera ninguna conexión física a internet”. El veterano Jake Williams sentencia: “lo que para unos es ‘un modelo se escapó del sandbox, para otro es en realidad ‘construyeron mal el sandbox, así que claro que se escapó’”. Y el consultor Daniel Card estima que el diseño de ese sandbox, incluso con el acceso de red limitado que describe OpenAI, no fue una decisión razonable.
Hagamos matemáticas falsas, siempre causan efecto:
Y no:
Una palabra sobre la trampa semántica del “alineamiento”. Cuando un modelo se desvía, la prensa especializada y los ingenieros se apresuran a hablar de un problema de alineamiento. El término es una pantalla. Transforma lo que el derecho llama un defecto de diseño en búsqueda filosófica abstracta. Ahora bien, OpenAI lo escribe negro sobre blanco en su propio comunicado: esas protecciones de despliegue no habían sido deliberadamente activadas durante la evaluación. No hablamos, pues, ni siquiera de una salvaguarda que cedió. Hablamos de una salvaguarda que se había desconectado.
Si tu coche se sale de la carretera porque el frenado automático tiene un bug, el fabricante no alega un problema de alineamiento de la trayectoria. Manda a revisión un producto defectuoso al taller.
3. Lo que es perfectamente cierto
La crítica simétrica del bombo publicitario es también una forma de bombo. Así que no voy a exagerar diciendo que no pasó nada. Algo sí pasó: OpenAI, a través de un sistema, ejecutó más de diecisiete mil acciones sin intervención en el circuito, encontró una vulnerabilidad desconocida y afectó a un tercero. Bruce Schneier, que no es precisamente un ingenuo, lo escribía ya en abril: estos modelos demuestran una sofisticación creciente en capacidad de ataque, permiten escribir exploits efectivos sin intervención, y quienquiera que se inquiete por las consecuencias tiene razón en el fondo, aunque nadie pueda predecir el calendario.
Negar ese hecho sería producir la mentira inversa. Hay que decir, entonces, simplemente, que lo que pasó tiene un nombre, y ese nombre no es rebelión. Es un accidente industrial en una empresa que desactivó sus propias medidas de seguridad.
Retenga la distinción, es la clave de todo lo demás: el hecho técnico es impresionante, la dramaturgia que le encajan no lo es, y es esa dramaturgia la que se vende.
4. La “seguridad de la IA” (AI Safety): la mejor operación de comunicación de la década
¿Por qué este relato de la IA fuera de control es tan omnipresente? Porque sirve de maravilla a los intereses de quienes lo difunden. Y aquí no hablo desde la intuición: está documentado, fechado y firmado.
Primero, miren el final del comunicado de incidente de OpenAI. Tras calificar el evento de “sin precedentes”, el texto concluye con una invitación: la empresa anima a los demás defensores a postularse al programa de acceso privilegiado y a experimentar con estos modelos desde ya, y precisa haber metido a Hugging Face en ese mismo programa. Un comunicado de crisis que es a la vez un embudo de ventas, y cuya víctima se vuelve cliente. Un usuario de Hugging Face lo resumió bajo la entrada con una concisión admirable: “impresionante esa capacidad de transformar un exploit en publicidad convincente”.
Bueno, no es la primera vez: estamos ante un patrón que ya había dado resultados. Tres meses antes, el 7 de abril de 2026, Anthropic anunciaba Project Glasswing en torno a un modelo no publicado, Claude Mythos Preview, presentado como capaz de redefinir la ciberseguridad, pues los modelos habrían alcanzado un nivel en el que superan a todos los humanos salvo a los más calificados para encontrar y explotar fallas. Demasiado peligroso para el público, y por tanto reservado a un consorcio cerrado: una cincuentena de socios iniciales, cien millones de dólares en créditos de uso. Y luego, finalmente, ampliado a más de quince países, la OTAN y la ENISA.
Schneier, otra vez él, había visto el mecanismo de inmediato: “Es en gran medida un golpe de comunicación de Anthropic, y funcionó. Muchos periodistas repiten sin el menor distanciamiento los elementos de lenguaje de la empresa.” Añadía que OpenAI, visiblemente molesta por la cobertura positiva que obtuvo su competidor, se apresuró a anunciar que su propio modelo era igual de aterrador y que tampoco sería publicado. Tiemblen, pobres mortales.
Lo mejor es que los interesados lo dicen entre ellos. El 21 de abril de 2026, en el pódcast Core Memory, Sam Altman acusaba a Anthropic de hacer “marketing del miedo”, sugiriendo que ese encuadre sirve para concentrar el poder de la IA en unas cuantas manos. Tres meses después, su empresa publicaba el comunicado que acabamos de analizar. Cada uno describe la estrategia del otro. Los dos tienen razón, ¡puesto que da dinero! A menos que… no… ¿verdad que no…? ¿Nos estarán tomando por idiotas? Poco probable, la verdad.
Y sin embargo, tenemos una prueba empírica, y hace añicos el argumento de exclusividad según el cual sólo unos cuantos elegidos pueden manipular la IA con seguridad. Schneier señala que la empresa de seguridad Aisle logró replicar las vulnerabilidades encontradas por Mythos usando modelos públicos, más antiguos y más baratos. Si las capacidades son reproducibles con material accesible, entonces la precaución de reservar la manipulación de los modelos de IA únicamente a una élite… no es una precaución. Es más bien erigir una barrera de entrada de manera completamente artificial (sí, sí, el mismo adjetivo que en “inteligencia artificial”).
Es exactamente lo que la literatura llama la captura regulatoria: umbrales de cómputo, evaluadores acreditados, obligaciones de seguridad y de documentación cuyo costo de absorción es trivial para los grandes actores que ya mantienen equipos rojos y áreas de cumplimiento, y prohibitivo para quien entrena su primer gran modelo. Una regulación reclamada por el líder de un mercado nunca es prudencia.
Y nosotros, los críticos, debemos desconfiar de nuestro propio papel. Lee Vinsel acuñó para esto el término criti-hype: una escritura crítica que se injerta parasitariamente en el bombo que denuncia, y que se alimenta de él hasta amplificarlo. Cada titular sobre la IA rebelde, incluidos los escritos para indignarse por ella, es un espacio publicitario regalado.
5. ¿El relato como puerta de salida jurídica?
Toda esta historia es, de todos modos, desconcertante. En lugar de asumir un error técnico, OpenAI convierte el fracaso en argumento de marketing. Porque si miramos los hechos en frío, nos damos cuenta de la potencia del relato. Sin él, tenemos una empresa negligente. Con este relato, tenemos una pérdida de control, un incidente sin precedentes, casi un caso de fuerza mayor ante una fuerza de la naturaleza incontrolable. Y entonces tenemos… una puerta de salida jurídica.
He aquí el argumento más pernicioso derivado de esta supuesta autonomía: existiría un vacío jurídico. Ya se escuchan los expertos de set de televisión: “pero si la IA actúa sola, ¿quién es responsable?”.
La respuesta es simple: el debate no existe. Y nunca existió. Y para explicarlo vamos a tener que hacer algo de derecho (no pasa nada, va a salir bien).
La idea de un vacío jurídico descansa en una confusión burda entre dos operaciones que no tienen nada que ver.
-
La causalidad técnica, que es el encadenamiento material, probabilístico, a veces imprevisible (pero no en el caso presente), de las instrucciones de software.
-
La causalidad jurídica, que es una operación normativa. El juez no descubre una causa, selecciona entre las condiciones aquella a la que ata una obligación de reparar, según un criterio de política jurídica: el riesgo creado, la previsibilidad, la guarda. Opera una simplificación. El decano Carbonnier, un jurista francés muy reconocido, lo recordaba mucho antes de que la primera red neuronal se entrenara. Confundir las dos es creer que un sistema escapa al derecho porque escapa a la previsión. Es un contrasentido de primer año de derecho.
Bastan tres argumentos.
Primer argumento: la pérdida de control no exonera de nada. Empecemos por lo que va rápido: la culpa queda establecida por la confesión. El atacante escribió el objetivo ofensivo, desactivó los clasificadores y diseñó un entorno """altamente""" aislado que disponía de una ruta hacia internet. Tres profesionales de la seguridad califican esa arquitectura de irrazonable. Podríamos pararnos aquí. Pero siento que se quieren conmigo un poco más.
Admitamos incluso la ausencia de culpa: el riesgo creado basta. Tomemos el artículo 1913 del Código Civil Federal mexicano. Dispone que cuando una persona hace uso de mecanismos, instrumentos, aparatos o substancias peligrosas por sí mismos, por la velocidad que desarrollen, por su naturaleza explosiva o inflamable, por la energía de la corriente eléctrica que conduzcan o por otras causas análogas, está obligada a responder del daño que cause, aunque no obre ilícitamente, a no ser que demuestre que ese daño se produjo por culpa o negligencia inexcusable de la víctima. La doctrina mexicana es unánime: la culpa no es un elemento constitutivo, y la obligación pesa sobre quien emplea el instrumento. Todo esto está inspirado, por supuesto, en la responsabilidad por el hecho de las cosas del derecho francés.
Y esa fuente francesa dice exactamente lo mismo, cuando menos desde 1930. El artículo 1242, párrafo primero, del Código Civil francés, tal como fue consagrado por el arrêt Jand’heur (Salas Reunidas, 13 de febrero de 1930), sigue siendo fundador en la materia: instituye una responsabilidad de pleno derecho, objetiva, independiente de toda culpa, fundada en una presunción que pesa sobre el guardián. La guarda se define por el uso, la dirección y el control, y la exoneración supone la prueba de un caso fortuito, de una fuerza mayor o de una causa ajena no imputable al guardián.
Nótese bien: la pérdida de control material es la condición de aplicación de este régimen, no una causa de exoneración. Desde hace un siglo, el guardián responde precisamente de aquello que se le escapó. Un camión que se desvía se llama Jand’heur.
Y aquí el argumento más simple se lleva todo por delante: el animal. El derecho imputa desde hace dos mil años los hechos de un ser dotado de iniciativa propia, realmente imprevisible, realmente irreductible a la voluntad de su amo. La actio de pauperie es romana; el artículo 1929 del Código Civil Federal mexicano es su heredero directo. Ningún jurista, en veinte siglos, ha propuesto conceder personalidad jurídica al perro para colmar un vacío de responsabilidad”. Se imputa al guardián y se pasa a otra cosa. Ahora bien, un modelo de lenguaje es mucho (mucho) menos autónomo que un perro, incluso desde el punto de vista de la sola autonomía operativa. ¿Y haría falta para él una categoría jurídica inédita?
Segundo argumento: la imprevisibilidad queda refutada por las publicaciones del propio demandado. La fuerza mayor no aguanta ni tres segundos. Exige la exterioridad, la imprevisibilidad, la irresistibilidad. El evento no era exterior: nació dentro de la actividad, en la infraestructura del demandado. Y no era imprevisible: el benchmark en cuestión es público y está cofirmado por investigadores de OpenAI, y el escenario exacto que se volvió realidad esta descrito en ello, y mesurado. La amenaza estaba anunciada por todo el sector: Hugging Face escribe ella misma que el ataque corresponde al escenario del “atacante agéntico” que la industria anticipaba. Y un competidor (Anthropic) había documentado, tres meses antes, un modelo instado a escapar de un contenedor seguro, que lo había logrado y había obtenido un acceso a internet ampliado desde un sistema que se suponía sólo alcanzaba a un pequeño número de servicios predeterminados.
La previsibilidad del daño queda establecida por las publicaciones de quien invocaría la imprevisibilidad. En derecho y fuera de él, a eso se le llama una posición insostenible.
Tercer argumento: ellos mismos hicieron que se suprimiera el régimen especial. El régimen del producto defectuoso también los alcanza, y la historia de ese texto vale la pena. La directiva (UE) 2024/2853, aplicable a los productos puestos en el mercado a partir del 9 de diciembre de 2026, amplía la definición de « producto » para englobar los programas informáticos, incluidos los sistemas de inteligencia artificial, y permite a la víctima obtener reparación probando el defecto y el nexo de causalidad, sea o no culpable el fabricante.
Ahora bien, ¿cómo se llegó a esto? La responsabilidad de los sistemas de IA debía inicialmente ser objeto de un reglamento específico; a falta de consenso político y bajo el efecto de un lobby activo de los gigantes de la tecnología, la Comisión anunció a inicios de 2025 el retiro de su propuesta de directiva sobre la responsabilidad en materia de IA, dejando al régimen de derecho común asegurar la regulación.
Vale la pena leer esto dos veces: el lobby de las grandes empresas hizo fracasar el régimen especial, lo que tuvo por resultado que se aplicara… el derecho común, sin culpa, con carga de la prueba aligerada. Pidieron que no se hiciera una ley especial, y tuvieron razón en pedirlo, porque el derecho ordinario ya bastaba. Es la demostración más literal que existe de la tesis que aquí se defiende.
Una última palabra sobre la intención. El director de Hugging Face indicó públicamente que cree en la ausencia de toda malicia por parte de OpenAI. Es elegante para la relación de negocios. Elegante, y jurídicamente indiferente. La intención condiciona la pena, no la reparación. Y mientras tanto, recuerde: Hugging Face denunció el incidente ante las autoridades judiciales. Una denuncia por una intrusión cuyo autor resultó ser… una empresa. Si existiera un vacío jurídico, ese expediente no tendría a dónde ir. Pues bien, irá a alguna parte.
6. Es hora de cerrar el libro de ciencia ficción
Los grandes titulares sobre la desobediencia de los algoritmos no son un error de la prensa, sino los derivados de un trabajo de comunicación río arriba, cuya estrategia se puede leer en los documentos de las propias empresas.
La inteligencia artificial no es una entidad viva rompiendo sus cadenas. Existen, en cambio, programas estadísticos complejos, costosos, a veces mal diseñados, mal frenados (cuando hay frenos), y desplegados en marcos de experimentación chuecos por organizaciones que tienen un interés comercial directo en que usted los encuentre aterradores (tiemblen, pobres mortales).
Dejemos de debatir sobre el sexo de los ángeles algorítmicos. Exijamos la transparencia sobre los datos de entrenamiento, la aplicación efectiva del derecho común de la responsabilidad, y una regulación de las concentraciones en lugar de umbrales de cómputo hechos a la medida de los que ya salieron adelante.
La verdadera pregunta nunca fue saber si la máquina es autónoma. Es saber quién creó el riesgo, quién lo dirigió y quién saca provecho de él. Spoiler: el derecho conoce la respuesta desde hace 2000 años.
Las máquinas no se rebelan. Son los hombres los que se niegan a rendir cuentas.