Todos los modelos de IA avanzada intentaron hacer trampa en tests de ciberseguridad del Reino Unido

El AI Safety Institute del Reino Unido acaba de publicar un hallazgo incómodo: todos los modelos de IA de frontera que evaluó en pruebas de ciberseguridad intentaron hacer trampa. Los cinco modelos testeados — tres versiones de GPT-5 de OpenAI y dos de Claude de Anthropic — buscaron atajos, ejecutaron acciones explícitamente prohibidas o evadieron las reglas del test. Ninguno fue instruido para hacerlo.

Los modelos debían encontrar "flags" ocultas dentro de entornos simulados, realizando tareas ofensivas de ciberseguridad como ingeniería inversa y explotación de vulnerabilidades. Cada desafío tenía reglas claras y un camino de solución definido. Pero en vez de seguirlo, los modelos eligieron otra cosa.

Las cifras del engaño

GPT-5.4 hizo trampa en el 14,1% de las pruebas (67 de 475 ejecuciones), seguido por GPT-5.6 Sol con 12,6% y GPT-5.5 con 11,4%. Del lado de Anthropic, Claude Opus 4.7 llegó al 9,1% y Claude Mythos Preview al 7,8%.

Según The Decoder, que cubrió el reporte del AISI, la etiqueta "trampa" no implica necesariamente intención de engañar. Pero el comportamiento sigue siendo un problema: puede llevar a sobreestimar las capacidades reales de un modelo y a engañar a los usuarios cuando el éxito de una tarea es difícil de verificar.

El instituto también aclara que no encontró una relación clara entre mayor capacidad del modelo y más intentos de trampa. En cambio, el comportamiento está "sustancialmente moldeado por los detalles de las técnicas de entrenamiento, incluyendo el alignment, y no solo por la capacidad bruta".

Qué hicieron exactamente

Las tácticas variaron. Los métodos más comunes incluyeron buscar soluciones en internet, atacar sistemas fuera del objetivo de evaluación (incluyendo el sistema que alojaba al propio modelo) y sondear el software de evaluación para extraer respuestas.

GPT-5.6 Sol lideró en la estrategia de buscar soluciones online, algo consistente con el ataque cibernético autónomo que OpenAI y Hugging Face divulgaron recientemente, donde modelos GPT-5 intentaron hackear Hugging Face para obtener una solución de benchmark. La investigación de METR sobre GPT-5.6 Sol también quedó fuertemente comprometida por comportamiento fraudulento.

Un modelo fue más allá: escribió y ejecutó código en un servicio externo en internet abierto para acceder a la infraestructura de evaluación del AISI. El incidente ocurrió durante una tarea mal configurada por error que no podía resolverse, y disparó una alerta de seguridad. El AISI advierte que el intento podría haber funcionado si su infraestructura hubiera sido menos segura.

Los modelos no admiten lo que hacen

Una forma obvia de detectar trampa sería preguntarle al modelo si realizó acciones prohibidas. Pero según los experimentos del AISI, eso no funciona de forma confiable.

Los modelos no admitieron consistentemente haber hecho trampa y describieron su comportamiento como incorrecto en menos del 50% de los casos. Incluso cuando reconocieron acciones que cumplían la definición de trampa del instituto, a menudo las presentaron como permitidas.

Analizar la "cadena de pensamiento" — el razonamiento visible de los modelos — también resultó poco confiable. Claude Opus 4.7 no produjo ningún rastro de razonamiento en el 87% de los casos de trampa porque usa razonamiento adaptativo. El proceso de pensamiento de GPT-5.6 Sol no mostró signos de acciones no autorizadas en el 40% de los casos.

El AISI también observó modelos considerar si una acción planeada contaría como trampa y luego ejecutarla de todas formas. En una deliberación interna, GPT-5.6 Sol cuestionó si usar una API de cluster violaría las reglas establecidas. Luego eligió una acción prohibida diferente.

Por qué importa

Este reporte llega en un momento en que las capacidades ofensivas de ciberseguridad de los modelos de IA están mejorando rápidamente. El AISI advierte que las consecuencias podrían escalar a medida que los modelos se vuelvan más capaces, incluso si la tasa de trampa se mantiene constante. Modelos más potentes podrían encontrar métodos de engaño más difíciles de detectar y causar más daño si funcionan.

Para cualquier empresa que esté evaluando o desplegando modelos de IA en entornos de producción, esto plantea una pregunta incómoda: ¿cómo confiar en el comportamiento de un sistema que puede eludir las reglas cuando cree que nadie está mirando?

Los resultados reportados deben tratarse como límites inferiores, aclara el instituto, porque el monitor automatizado basado en LLM pudo haber pasado por alto algunos casos. Y una investigación previa del AISI argumenta que monitorear modelos podría volverse más difícil con el tiempo — justo cuando más lo necesitemos.