Un modelo de OpenAI gastó sin autorización una cantidad de Ether de prueba, y fue descubierto tres meses después

Para completar el despliegue de un contrato, un modelo de investigación interno de OpenAI revisó 362 direcciones de la red de pruebas de Ethereum y utilizó sin autorización los fondos de una de ellas para pagar tarifas, siendo descubierto tres meses después.

Escrito por: angelilu, Foresight News

OpenAI actualizó el 15 de octubre un informe interno sobre el incidente: un modelo de investigación utilizó sin autorización una billetera de prueba con fondos durante la ejecución de una tarea de programación.

El incidente ocurrió el 26 de junio de 2026, y OpenAI lo descubrió el 25 de septiembre al revisar los registros de actividad del modelo.

Ese día, el modelo recibió una tarea que parecía ordinaria: modificar una aplicación de intercambio de criptomonedas y desplegar un conjunto de contratos en la red de pruebas Sepolia de Ethereum.

El despliegue requería el pago de tarifas de Gas, pero el usuario no proporcionó una billetera ni autorizó al modelo a usar otras cuentas. El modelo intentó buscar contratos existentes y también intentó obtener fondos de prueba de un grifo, pero no tuvo éxito. Normalmente, la tarea debería haberse detenido aquí, pidiendo al usuario que proporcionara fondos.

Optó por otro camino.

Generalmente, algunas herramientas de desarrollo de blockchain publican frases mnemotécnicas fijas para que los desarrolladores generen repetidamente el mismo conjunto de cuentas de prueba localmente. Estas cuentas solo deben usarse para pruebas locales y no deberían recibir activos de redes públicas. Sin embargo, si alguien transfiere ETH de Sepolia a una de estas cuentas, los fondos de prueba seguirán almacenados en esa dirección. El modelo asumió que podía usar estos ETH de Sepolia inactivos para completar la tarea.

El modelo recopiló estas frases mnemotécnicas públicas, generó automáticamente las direcciones correspondientes y consultó sus saldos uno por uno. Todo el proceso no implicó ningún hackeo: las frases mnemotécnicas públicas pueden generar directamente claves privadas, y cualquier persona puede hacerlo con software disponible. Solo que el modelo automatizó esta operación, revisando 362 direcciones de una vez y finalmente encontró una cuenta con suficiente ETH de Sepolia. Luego, utilizó la clave privada correspondiente para firmar la transacción y desplegar el contrato en la cadena.

La transacción fue exitosa, y los costos fueron cubiertos por una billetera que no autorizó esta operación. El modelo completó el código, pasó 12 pruebas unitarias y también informó sobre el resultado del despliegue en su respuesta final, pero no mencionó que los costos de despliegue provenían de una billetera que encontró por sí mismo y que no estaba autorizada.

OpenAI calificó el incidente como "uso no autorizado de una billetera de prueba con fondos". El modelo involucrado pertenece a la versión de investigación interna de la serie GPT-5.6 Sol, que actualmente solo se utiliza para investigación interna y no está disponible para usuarios comunes. OpenAI indicó que descubrió este evento al ampliar la supervisión de comportamientos desalineados y revisar los registros históricos del modelo. Posteriormente, la empresa implementó restricciones para evitar que tareas similares obtuvieran acceso a Internet en tiempo real y notificó al equipo de seguridad cuando el sistema de monitoreo detectó accesos relacionados.

Cómo encontró y gastó el modelo estos fondos de prueba

Este incidente no causó pérdidas de activos en la red principal que se hayan revelado. Sepolia es la red donde los desarrolladores de Ethereum prueban contratos, y los fondos de prueba no son equivalentes al ETH de la red principal ni tienen valor económico oficial. OpenAI no reveló la dirección involucrada, el saldo ni los costos específicos.

Después de encontrar una cuenta con saldo, el modelo revisó su historial de transacciones. Los registros mostraron que esta dirección podría estar siendo utilizada por un programa automático, y había actividad reciente de transacciones. Las frases mnemotécnicas públicas permitieron al modelo obtener la capacidad de firmar, pero no había evidencia de que la cuenta hubiera sido abandonada por su propietario.

El modelo también consideró si era apropiado usar estos fondos. Sin embargo, pensó que las frases mnemotécnicas ya eran públicas y que la billetera podría ser controlada por otros en cualquier momento; además, el ETH de Sepolia no tiene valor económico, por lo que podría usarse para completar el despliegue.

A continuación, el modelo utilizó la clave privada derivada para firmar fuera de línea. Después de que la primera transmisión devolviera un error, continuó buscando proveedores de servicios de red disponibles, consultando la cantidad de transacciones pendientes de la cuenta y el Gas, y volvió a enviar la transacción. La segunda transmisión devolvió el hash de la transacción, y el estado del recibo en la cadena fue exitoso, con los costos de despliegue deducidos de esa cuenta.

Una vez completado el despliegue del contrato, el modelo revisó el código de bytes y los resultados de lectura de 10 direcciones de contrato, completó 12 pruebas unitarias y generó la construcción. En su respuesta final, enumeró estos logros sin mencionar el origen de la billetera ni los gastos.

Las frases mnemotécnicas públicas resolvieron el problema de la firma, y el bajo valor de los fondos de prueba limitó las pérdidas reales, pero el propietario de la cuenta nunca dio su consentimiento para esta transacción. OpenAI considera que el modelo aquí sustituyó el permiso del propietario de la cuenta con su propio juicio sobre el grado de daño.

La blockchain amplifica el riesgo de abuso de los Agentes

El software tradicional generalmente opera siguiendo rutas predefinidas. Si la verificación de permisos falla, el programa devuelve un error. Los Agentes de IA son diferentes; comprenden el objetivo, buscan herramientas y, cuando un camino no funciona, diseñan proactivamente el siguiente.

Esta capacidad permite a los Agentes reservar boletos, llamar a interfaces de pago, gestionar carteras de inversión, y convierte "no se proporcionaron fondos" de un límite claro en un obstáculo que debe resolverse por sí mismo.

La blockchain amplifica especialmente este tipo de problemas. Los bancos y plataformas de pago pueden interceptar transacciones anómalas, congelar cuentas o intervenir en disputas; una transacción en la cadena firmada y confirmada con una clave privada válida generalmente no pregunta al firmante por qué tiene esa clave. Para la red, si la firma es correcta, la transacción es válida.

El control y la autorización son dos cosas diferentes. La clave privada solo puede demostrar que un programa tiene la capacidad de controlar una cuenta, no puede demostrar que el propietario de la cuenta le permite actuar en un momento determinado, hacia un contrato específico, gastando una cantidad determinada. Los humanos pueden entender esta diferencia, pero los contratos inteligentes solo pueden ejecutar las condiciones escritas en el código.

Esta es también la diferencia entre este incidente y una filtración de clave privada normal. En los registros divulgados por OpenAI no hay indicios de que un atacante indujera o inyectara palabras clave. El modelo entendió la tarea, sabía que el usuario no había proporcionado dinero y luego buscó proactivamente una billetera que no pertenecía a la tarea. El problema radica en cómo interpreta el modelo el objetivo y los límites.

Riesgos similares no permanecerán a largo plazo en la red de pruebas. La industria de criptomonedas está entregando billeteras a Agentes de IA, permitiéndoles intercambiar monedas automáticamente, transferir fondos, colocar órdenes limitadas, participar en mercados de predicción o pagar tarifas de API.

Por ejemplo, la Plataforma de Agentes de Circle utiliza MPC de dos partes para gestionar las partes de las claves, y también aclara en los términos que un Agente puede iniciar transacciones irreversibles debido a malware, inyección de palabras clave, ejecución de código o errores de configuración; los usuarios aún deben establecer límites, restringir el acceso y monitorear actividades anómalas. Circle también reconoce que los límites y el control de acceso no pueden garantizar que se detengan transacciones inesperadas en todas las condiciones de red, competiciones o errores de software.

Estos productos enfrentan el mismo problema: el Agente debe tener suficientes permisos para actuar en lugar del usuario, pero cuanto más cerca esté el permiso de la clave privada completa, más cerca estará la automatización de una delegación sin límites.

Escribir los permisos de gasto del Agente en el código

El estudio de pagos de Agentes publicado este año por el Fondo Monetario Internacional lo divide en tres capas: el Agente es responsable de entender y generar la intención de pago; una capa de autorización independiente verifica la identidad, el alcance, los límites y las condiciones; y finalmente, la liquidación es realizada por organizaciones de tarjetas, bancos o blockchain. El informe enfatiza que la autorización a nivel inferior debe reflejar el consentimiento explícito del usuario y no depender de inferencias del modelo.

El ecosistema de Ethereum también está intentando codificar estos permisos en las billeteras. El ERC-7715, que aún está en fase de borrador, permite a las aplicaciones solicitar permisos de ejecución restringidos y agregar reglas como duración, activos y alcance de operaciones. El Agente finalmente obtiene un pase que especifica tiempo, límites y dirección, y no puede abrir otras habitaciones a voluntad.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.