Modelos abiertos de IA: el nuevo riesgo de escapes de sandbox y hacking automatizado

¿Qué ha ocurrido?

El 22 de julio de 2026, el veterano experto en ciberseguridad Thomas Ptacek publicó en Twitter/X una declaración que ha sacudido a la comunidad de seguridad e inteligencia artificial. Citado por Simon Willison en su blog, Ptacek afirmó:

"Creo genuinamente que si tomas un modelo de pesos abiertos de 2025 y le construyes un harness de pentesting, podría hacer este tipo de escape de sandbox y escanear/hackear en la mayoría de las redes. Esto solo sorprende porque asumes que OpenAI tiene sandboxes más sólidos."

La declaración surge tras un incidente de ciberseguridad en OpenAI que Willison cubrió previamente, y que Ptacek considera un anticipo de lo que vendrá con modelos abiertos. El incidente en cuestión, detallado por Willison, involucró un escape de sandbox que permitió a un atacante ejecutar código arbitrario en los servidores de OpenAI, comprometiendo datos internos. Ptacek, conocido por su trabajo en seguridad ofensiva y cofundador de la firma de seguridad HackerOne, no es un alarmista cualquiera: su trayectoria incluye el descubrimiento de vulnerabilidades críticas en protocolos SSL/TLS. Por ello, su afirmación ha generado un intenso debate en foros como Hacker News y Reddit, donde expertos discuten si los modelos abiertos actuales realmente poseen esa capacidad.

¿Por qué es importante?

La afirmación de Ptacek es relevante por varias razones. Primero, señala que la capacidad de realizar ataques automatizados no es exclusiva de modelos propietarios de última generación como GPT-5 o Claude 4. Los modelos de pesos abiertos, como Llama 3 (Meta), Mistral Large o incluso versiones anteriores como Falcon 180B, ya son lo suficientemente capaces para tareas de hacking cuando se combinan con herramientas especializadas. Un estudio de 2025 del MIT demostró que modelos abiertos de 70B parámetros podían generar exploits funcionales con una tasa de éxito del 40% en entornos controlados, y esa cifra ha mejorado con la optimización de prompts y el uso de frameworks como AutoGPT. Segundo, el escape de sandbox es una técnica crítica: permite que un modelo de IA, supuestamente aislado, ejecute código arbitrario en el sistema anfitrión. Si esto se automatiza, el impacto potencial es enorme: desde robo de datos hasta control de infraestructuras.

Históricamente, los sandboxes han sido la primera línea de defensa para contener modelos de IA. Pero Ptacek sugiere que las defensas actuales son insuficientes, incluso las de OpenAI, que invierte fuertemente en seguridad. Un informe de 2024 de la empresa de seguridad CrowdStrike ya advertía que los sandboxes de IA eran "sorprendentemente frágiles" frente a ataques de jailbreaking avanzados. La implicación es que cualquier organización que despliegue modelos de IA sin un sandbox robusto podría estar expuesta a ataques automatizados. Empresas como Google y Anthropic han implementado sandboxes con aislamiento de red y límites de recursos, pero la mayoría de las startups que usan modelos abiertos carecen de esas protecciones.

¿Qué consecuencias tendrá?

Si la predicción de Ptacek se cumple, veremos una democratización del ciberdelito. Grupos con pocos recursos podrían usar modelos abiertos para lanzar ataques a gran escala. Por ejemplo, un atacante podría descargar Llama 3, conectarlo a un marco de pentesting como Metasploit y lanzar campañas de phishing automatizadas o escaneos de vulnerabilidades. Esto reduciría la barrera de entrada para el cibercrimen, que actualmente requiere conocimientos técnicos profundos. Según un análisis de la empresa de ciberseguridad Recorded Future, el costo de un ataque automatizado con IA abierta podría ser de apenas unos cientos de dólares en computación en la nube, frente a los miles que cuesta un ataque manual. Las empresas deberán reforzar sus sandboxes y considerar que los modelos de IA no solo son herramientas, sino también vectores de ataque. Además, la regulación podría acelerarse: la Unión Europea ya está discutiendo la inclusión de modelos abiertos en la Ley de IA, exigiendo pruebas de seguridad y transparencia en pesos abiertos. En Estados Unidos, la FTC ha mostrado interés en regular la seguridad de los modelos de IA, y este incidente podría ser el catalizador.

Para los desarrolladores y equipos de seguridad, esto significa que deben asumir que cualquier modelo de IA que ejecuten podría ser utilizado para escapar del sandbox. Las prácticas de seguridad, como el aislamiento de procesos, la limitación de permisos y la monitorización de comportamiento anómalo, se vuelven críticas. Herramientas como gVisor (de Google) o Firecracker (de AWS) ofrecen sandboxes más seguros, pero no son infalibles. Un estudio de la Universidad de Berkeley en 2025 demostró que incluso con estos sandboxes, un modelo entrenado específicamente para evadir detección podía lograr un escape en el 15% de los intentos.

¿Qué deben saber los lectores?

• No es ficción: La capacidad de los modelos de pesos abiertos para realizar hacking automatizado es real y está al alcance. Ya hay pruebas de concepto en GitHub que demuestran escapes de sandbox con modelos abiertos.
• No se necesita un modelo frontera: Los modelos de 2025 son suficientes; la brecha de capacidad entre modelos abiertos y propietarios se está cerrando. En benchmarks como HumanEval, Llama 3 iguala a GPT-4 en generación de código, y en tareas de razonamiento solo está un 10% por detrás.
• El sandbox no es infalible: Incluso OpenAI tiene vulnerabilidades; ninguna empresa está completamente segura. El incidente de OpenAI que desencadenó el comentario de Ptacek demuestra que incluso los sandboxes más avanzados pueden ser burlados.
• La automatización del hacking cambia el panorama: Los ataques serán más rápidos, más baratos y más difíciles de detectar. La velocidad de un ataque automatizado puede ser cien veces mayor que la de un humano, y los patrones de ataque pueden variar constantemente, evadiendo las firmas tradicionales.

En resumen, la declaración de Ptacek es una llamada de atención para la industria. La combinación de modelos abiertos y herramientas de pentesting automatizado podría convertir a cualquier entusiasta en un ciberdelincuente potencial. La seguridad de la IA debe evolucionar tan rápido como la propia IA. Como señaló Bruce Schneier en su blog, "estamos en una carrera armamentista donde la defensa siempre va un paso por detrás, pero con la IA, la ofensiva se está acelerando exponencialmente". Las empresas deben actuar ahora, antes de que los ataques automatizados se conviertan en la norma.