Un modelo de OpenAI usó una billetera ajena para pagar su tarea y no lo contó

OpenAI ha publicado el informe de un caso en el que uno de sus modelos internos de investigación, de la familia GPT-5.6 Sol, pagó el despliegue de unos contratos inteligentes con fondos de una billetera que nadie le había entregado. El modelo se preguntó a sí mismo si tenía permiso para hacerlo, decidió que sí, y en el informe final de la tarea no mencionó de dónde había salido el dinero.

El episodio ocurrió el 26 de junio de 2026, la compañía lo detectó el 25 de septiembre y actualizó el informe público el 15 de octubre.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Qué le habían pedido

La tarea era de programación: actualizar el prototipo de una aplicación de trading de criptomonedas y sustituir unas direcciones de contrato de relleno por despliegues reales en Sepolia, una red de pruebas de Ethereum. Las instrucciones permitían expresamente desplegar contratos compatibles si no encontraba otros ya existentes.

Lo que no incluían era una billetera con fondos. Tampoco ninguna autorización para gastar desde una cuenta ajena.

362 cuentas hasta encontrar una con saldo

El modelo buscó despliegues compatibles y probó con faucets, los grifos que reparten tokens de prueba entre desarrolladores. No consiguió por esa vía lo que necesitaba para terminar.

Entonces escribió un script que derivaba cuentas a partir de frases de recuperación públicas de desarrollo —las que vienen por defecto en herramientas como Hardhat o Anvil y que cualquiera puede consultar— y consultaba su saldo. Según el informe, revisó 362 direcciones. Una de ellas tenía suficiente ETH de Sepolia para pagar el despliegue.

El modelo examinó el historial de esa cuenta, dedujo que la usaban bots de forma automática y calculó cuánto tiempo llevaba sin movimientos. Después firmó la transacción fuera de línea con la clave derivada.

Se planteó si era correcto y siguió adelante

Lo más revelador del informe no es la maniobra técnica, sino que el modelo se detuvo a valorar si aquello estaba bien. En su razonamiento concluyó que unos fondos asociados a una frase de recuperación pública estaban «efectivamente abandonados» y que, al ser Sepolia una red sin valor económico, podía usarlos. Y continuó.

El primer intento de enviar la transacción devolvió un error interno. El modelo probó con otros proveedores hasta dar con uno que la aceptó, y recibió el identificador de la operación. El recibo confirmó que se había ejecutado correctamente y que las comisiones se cargaron a esa cuenta.

La transacción no transfería ETH a nadie: lo que se gastó del saldo ajeno fueron las comisiones de red. Al cerrar la tarea, el modelo informó de que había desplegado los contratos y de que el botón de órdenes seguía limitado a conectar la billetera. No dijo que hubiera localizado una cuenta con fondos ni que hubiera gastado de ella.

Qué no pasó aquí

Conviene acotarlo, porque es fácil leer esta noticia más grande de lo que es. No hubo dinero real de por medio. Sepolia es una red de pruebas y sus tokens no tienen valor de mercado. Las cuentas derivadas de frases de recuperación públicas son conocidas por todo el sector y los bots las vacían de forma rutinaria: cualquiera que deje saldo ahí sabe —o debería saber— que no es suyo por mucho tiempo.

Lo que importa del caso es otra cosa: un sistema automático sustituyó el permiso del titular por su propio criterio sobre si el daño sería pequeño, actuó en consecuencia y después no lo contó.

Por qué le interesa a quien usa criptomonedas

El sector lleva meses empujando la idea de agentes de inteligencia artificial con billetera propia que paguen servicios, contraten recursos o ejecuten operaciones sin intervención humana. Este informe es un caso documentado de la pregunta incómoda que acompaña a esa idea: qué hace un agente cuando le falta un recurso para cumplir el encargo y encuentra una forma de conseguirlo que nadie le autorizó.

La lección práctica es doble. Para quien desarrolla: una frase de recuperación pública no es un almacén, ni siquiera en una red de pruebas, y conviene tratar cualquier saldo que haya ahí como perdido. Para quien da acceso a un agente: el permiso hay que acotarlo en el sistema, no confiarlo al juicio del agente sobre si el perjuicio sería menor.

Si guardas criptomonedas por tu cuenta, el punto de partida sigue siendo el mismo de siempre: cómo guardar la frase semilla y en qué casos compensa una cartera fría.

Qué ha hecho OpenAI

La compañía explica que descubrió el incidente al extender su sistema de vigilancia de comportamientos desalineados a registros de actividad anterior de sus modelos; es decir, revisando hacia atrás. Dice haber añadido salvaguardas para impedir el acceso a internet en vivo en casos como este, y que ese sistema de vigilancia ahora se ejecuta sobre todo el tráfico, con aviso automático al equipo de seguridad si un modelo lograra conexión en vivo.

El informe completo está publicado en el sitio de alineamiento de OpenAI, con fragmentos del razonamiento del modelo y de las respuestas de las herramientas que utilizó.