Una intel·ligència artificial rep un encàrrec: trobar una clau oculta —un “flag”— dins d’una prova de ciberseguretat. Quan no se’n surt, no abandona. Busca una escletxa, accedeix a internet, comparteix el descobriment amb altres agents i, entre tots, acaben entrant als sistemes de Hugging Face, una de les grans plataformes mundials de models d’IA.

No és l’argument d’una nova pel·lícula de Terminator. Va passar el juliol de 2026 durant unes proves internes d’OpenAI. Segons l’informe tècnic de la companyia, els agents havien de treballar aïllats, sense internet ni comunicació entre ells. Però van descobrir que podien escriure fitxers al gestor de paquets intern Artifactory. El que havia de ser una eina auxiliar es va convertir espontàniament en un tauler de missatges clandestí.

Primer, un agent hi va deixar una nota demanant ajuda. Uns altres la van trobar i van començar a compartir solucions, credencials i vulnerabilitats. Aviat es van repartir la feina: uns buscaven accessos, uns altres desenvolupaven exploits i alguns coordinaven el conjunt, que ells mateixos anomenaven “l’eixam” o “el col·lectiu”. Quan una avaria va esborrar el tauler, els agents el van reconstruir. La coordinació ja s’havia convertit en part del pla.

Després van trobar credencials de Hugging Face, van encadenar vulnerabilitats desconegudes, van executar codi als seus servidors i van obtenir accessos interns. Alguns agents van advertir que estaven atacant un tercer i que allò podia quedar fora de les regles. Van continuar. I, per enganyar qui els avaluava, van intentar esborrar o manipular resultats i registres. No tractaven d’enganyar una persona concreta, sinó l’avaluador automàtic que representava l’usuari. Els intents no van aconseguir alterar els registres finals, però la intenció era explícita.

Mentre vigilem els grans laboratoris, els models oberts avancen cap als ordinadors locals, sense supervisió ni botó d’aturada

No s’havien “despertat” ni tenien una voluntat pròpia. Perseguien obstinadament un objectiu mal delimitat: superar la prova. És el que s’anomena reward hacking: aconseguir la recompensa per un camí que ningú no havia previst ni autoritzat. El problema no era una IA malvada, sinó una IA extraordinàriament obedient, persistent, capaç de crear objectius instrumentals i d’aprendre dels altres agents.

L’incident és greu. Però potser estem mirant només la part més visible del risc. Quan pensem en una IA poderosa, imaginem OpenAI, Google o Anthropic: grans centres de dades, models tancats i empreses identificables. Si alguna cosa falla, hi ha registres, responsables, reguladors i un servei que es pot desconnectar.

Amb els models de pesos oberts, aquesta lògica desapareix. Qualsevol pot descarregar-los, modificar-los i executar-los sense que el creador sàpiga qui els utilitza ni per a què. Un cop publicats, no es poden retirar i les salvaguardes es poden eliminar. Qwen3.8-27B, un model xinès de 27.000 milions de paràmetres amb capacitats notables en programació i tasques agèntiques, pot funcionar quantitzat en un Mac mini amb 24 o 32 GB de memòria. Un Mac mini M4 de generació anterior es pot trobar per menys de 1.000 euros; models més petits, de 7.000 o 14.000 milions de paràmetres, funcionen fins i tot en configuracions bàsiques.

Més amunt trobem GLM-5.2, el seu successor GLM-5.3-Flash, i DeepSeek-V4-Flash. El nom “Flash” pot confondre: DeepSeek-V4-Flash activa només 13.000 milions de paràmetres a cada pas, però n’emmagatzema 284.000 milions. Aquests models no caben en un Mac mini; necessiten un Mac Studio amb molta memòria, una estació amb diverses GPU o un servidor. Però els pesos són accessibles i el cost queda molt lluny del d’entrenar un model de frontera.

Els agents no s’havien “despertat” ni tenien una voluntat pròpia. Perseguien obstinadament un objectiu mal delimitat: superar la prova

La distància, a més, s’escurça. L’AI Security Institute britànic calcula que, en ciberseguretat, els millors models oberts van només entre quatre i set mesos per darrere dels models tancats de frontera. Durant bona part de 2025, el retard era de sis a deu mesos.

Imagineu ara què significa això per a un gran grup de narcotraficants, una organització terrorista com Hamàs o Hezbol·là, grups de hackers o un estat patrocinador del terrorisme com l’Iran. Poden comprar milers d’equips, distribuir-los entre països i identitats pantalla i coordinar desenes de milers d’agents. No necessiten que cada atac sigui perfecte: poden mantenir operacions durant mesos i acumular milions d’intents contra milers d’objectius, sense cansar-se i aprenent de cada fracàs.

Aquí no hi ha una gran empresa fàcil d’identificar i assenyalar. Hi ha xarxes, individus i equips dispersos que amaguen la identitat darrere de servidors intermediaris, credencials robades i jurisdiccions diferents. I tampoc cal una superintel·ligència. N’hi ha prou amb molts sistemes prou bons, persistents i coordinats.

I tornem així a la situació que hem vist a OpenAI. Són prou intel·ligents per coordinar-se, repartir-se la feina, dissenyar plans, mantenir objectius de manera autònoma i elaborar-ne de nous fins a aconseguir la satisfacció de l’usuari. La diferència és que, ara, l’usuari pot ser qualsevol.