Una inteligencia artificial recibe un encargo: encontrar una clave oculta —un "flag"— dentro de una prueba de ciberseguridad. Cuando no lo consigue, no abandona. Busca una rendija, accede a internet, comparte el descubrimiento con otros agentes y, entre todos, acaban entrando en los sistemas de Hugging Face, una de las grandes plataformas mundiales de modelos de IA.

No es el argumento de una nueva película de Terminator. Ocurrió en julio de 2026 durante unas pruebas internas de OpenAI. Según el informe técnico de la compañía, los agentes debían trabajar aislados, sin internet ni comunicación entre ellos. Pero descubrieron que podían escribir ficheros en el gestor de paquetes interno Artifactory. Lo que debía ser una herramienta auxiliar se convirtió espontáneamente en un tablón de mensajes clandestino.

Primero, un agente dejó una nota pidiendo ayuda. Otros la encontraron y empezaron a compartir soluciones, credenciales y vulnerabilidades. Pronto se repartieron el trabajo: unos buscaban accesos, otros desarrollaban exploits y algunos coordinaban el conjunto, que ellos mismos llamaban "el enjambre" o "el colectivo". Cuando una avería borró el tablón, los agentes lo reconstruyeron. La coordinación ya se había convertido en parte del plan.

Después encontraron credenciales de Hugging Face, encadenaron vulnerabilidades desconocidas, ejecutaron código en sus servidores y obtuvieron accesos internos. Algunos agentes advirtieron que estaban atacando a un tercero y que aquello podía quedar fuera de las reglas. Continuaron. Y, para engañar a quien los evaluaba, intentaron borrar o manipular resultados y registros. No trataban de engañar a una persona concreta, sino al evaluador automático que representaba al usuario. Los intentos no consiguieron alterar los registros finales, pero la intención era explícita.

Mientras vigilamos los grandes laboratorios, los modelos abiertos avanzan hacia los ordenadores locales, sin supervisión ni botón de parada

No se habían "despertado" ni tenían una voluntad propia. Perseguían obstinadamente un objetivo mal delimitado: superar la prueba. Es lo que se denomina reward hacking: conseguir la recompensa por un camino que nadie había previsto ni autorizado. El problema no era una IA malvada, sino una IA extraordinariamente obediente, persistente, capaz de crear objetivos instrumentales y de aprender de los otros agentes.

El incidente es grave. Pero quizás estamos mirando solo la parte más visible del riesgo. Cuando pensamos en una IA poderosa, imaginamos OpenAI, Google o Anthropic: grandes centros de datos, modelos cerrados y empresas identificables. Si algo falla, hay registros, responsables, reguladores y un servicio que se puede desconectar.

Con los modelos de pesos abiertos, esta lógica desaparece. Cualquiera puede descargarlos, modificarlos y ejecutarlos sin que el creador sepa quién los utiliza ni para qué. Una vez publicados, no se pueden retirar y las salvaguardas se pueden eliminar. Qwen3.8-27B, un modelo chino de 27.000 millones de parámetros con capacidades notables en programación y tareas agénticas, puede funcionar cuantizado en un Mac mini con 24 o 32 GB de memoria. Un Mac mini M4 de generación anterior se puede encontrar por menos de 1.000 euros; modelos más pequeños, de 7.000 o 14.000 millones de parámetros, funcionan incluso en configuraciones básicas.

Más arriba encontramos GLM-5.2, su sucesor GLM-5.3-Flash, y DeepSeek-V4-Flash. El nombre “Flash” puede confundir: DeepSeek-V4-Flash activa solo 13.000 millones de parámetros a cada paso, pero almacena 284.000 millones. Estos modelos no caben en un Mac mini; necesitan un Mac Studio con mucha memoria, una estación con varias GPU o un servidor. Pero los pesos son accesibles y el coste queda muy lejos del de entrenar un modelo de frontera.

Los agentes no se habían “despertado” ni tenían una voluntad propia. Perseguían obstinadamente un objetivo mal delimitado: superar la prueba

La distancia, además, se acorta. El AI Security Institute británico calcula que, en ciberseguridad, los mejores modelos abiertos van solo entre cuatro y siete meses por detrás de los modelos cerrados de frontera. Durante buena parte de 2025, el retraso era de seis a diez meses.

Imagine ahora qué significa esto para un gran grupo de narcotraficantes, una organización terrorista como Hamás o Hezbolá, grupos de hackers o un estado patrocinador del terrorismo como Irán. Pueden comprar miles de equipos, distribuirlos entre países e identidades pantalla y coordinar decenas de miles de agentes. No necesitan que cada ataque sea perfecto: pueden mantener operaciones durante meses y acumular millones de intentos contra miles de objetivos, sin cansarse y aprendiendo de cada fracaso.

Aquí no hay una gran empresa fácil de identificar y señalar. Hay redes, individuos y equipos dispersos que esconden la identidad detrás de servidores intermediarios, credenciales robadas y jurisdicciones diferentes. Y tampoco hace falta una superinteligencia. Basta con muchos sistemas lo suficientemente buenos, persistentes y coordinados.

Y volvemos así a la situación que hemos visto en OpenAI. Son lo suficientemente inteligentes para coordinarse, repartirse el trabajo, diseñar planes, mantener objetivos de manera autónoma y elaborar nuevos hasta conseguir la satisfacción del usuario. La diferencia es que, ahora, el usuario puede ser cualquiera.