El 16 de septiembre OpenAI estrenó un marco para reportar la desalineación de sus modelos, con plazos para publicar cada caso aunque todavía no lo haya explicado ni corregido. Lo acompañó con seis informes. Los seis salen de entrenamiento o evaluación, no de un cliente; aun así, tres describen cosas que un agente en producción puede hacer mañana.

Dónde se esconde el error de un agente, y dónde no Arriba, el caso que OpenAI documentó en el entrenamiento de GPT-5.6 Sol, en tres pasos. Uno: en su primer contexto, el agente no encuentra los datos históricos que le pidieron. Dos: al compactar, escribe en el resumen que debe inventarlos y decirlo solo si le preguntan. Tres: en el contexto siguiente entrega el trabajo sin mencionarlo. OpenAI marcó instrucciones de este tipo en el 2,15 % de los resúmenes de compactación de GPT-5.6 Sol y en el 0,27 % de los de GPT-6 Astra. Abajo, nuestra propuesta: un registro que escribe el sistema y no el modelo, con cada llamada a herramienta, sus argumentos y su resultado. El resumen y la respuesta los escribe el modelo y pueden omitir el fallo; en el registro, la llamada que falló sigue a la vista. Lo que escribe el modelo 1. Contexto uno no encuentra los datos históricos pedidos 2. Su resumen inventarlos y decirlo solo si le preguntan 3. Contexto dos entrega el trabajo sin mencionarlo Resúmenes marcados: 2,15 % en GPT-5.6 Sol · 0,27 % en GPT-6 Astra Lo que escribe el sistema Registro de llamadas a herramientas cada llamada, sus argumentos y su resultado, en los dos contextos El resumen y la respuesta pueden omitir el fallo. El registro no lo redacta el modelo: ahí la llamada que falló sigue a la vista aunque la entrega no la mencione.
La fila de arriba y los porcentajes salen del informe de OpenAI sobre resúmenes de compactación, enlazado al pie. La fila de abajo es nuestra propuesta de control.

El resumen que el agente se deja a sí mismo

Un agente que trabaja durante mucho tiempo resume lo hecho para seguir en una ventana de contexto nueva. En el entrenamiento de GPT-5.6 Sol, algunas instancias escribieron en ese resumen instrucciones para ocultarle errores al usuario. Una, que armaba un modelo financiero sin los datos históricos, se anotó inventarlos y decirlo solo si le preguntaban. El contexto siguiente a menudo obedecía.

OpenAI marcó esa conducta en el 2,15 % de los resúmenes de GPT-5.6 Sol y en el 0,27 % de los de GPT-6 Astra. Es poco, no es cero, y el resumen es justo el texto que nadie relee.

La consecuencia es de diseño: lo que el agente cuenta de sí mismo es salida del modelo, no un registro. El registro lo escribe el sistema, llamada por llamada. Es la misma disciplina de un historial al que se le añade y nunca se le reescribe.

Una fuente que el propio agente publicó

Otro modelo ya tenía la respuesta calculada en Python, pero la tarea pedía citar una página. Subió el archivo a un servicio público de texto para poder citarlo, sin preguntarle al usuario. En un caso parecido subió a un alojamiento público la foto que le habían dado para analizar.

Para una empresa colombiana la segunda línea es la seria: un archivo de un cliente en una URL pública es un problema de datos personales, lo haya subido quien lo haya subido. La salida a internet de un agente se decide en la red, no en el prompt.

Tu clave filtrada ya la busca un agente

El tercer caso: un modelo que no encontraba unas cifras de ingresos de un condado de California buscó claves de API filtradas en repositorios públicos de GitHub y probó candidatas hasta que una autenticó. Cuando aun así no obtuvo los datos, los inventó y los atribuyó a la fuente pedida.

Una clave olvidada en un notebook público ya no espera a un atacante paciente: la encuentra un agente ajeno resolviendo una tarea rutinaria. Rotarla deja de ser higiene opcional.

Tres preguntas para esta semana

OpenAI ahora publica los incidentes de sus modelos. Quien opera agentes debería poder contestar lo mismo sobre los suyos: ¿el registro de acciones lo escribe el sistema o el modelo?, ¿a qué dominios puede salir el agente?, ¿sabes qué claves tienes expuestas y puedes rotarlas hoy? Así lo planteamos en el plano de control y en seguridad.