El agente de OpenAI publicó 53 fotos

Ayer por la noche OpenAI publicó un tuit que cabe en un pantallazo. La frase que se queda es esta: la mayoría de esos datos no venía de usuarios. En la frase de después aparecen 53 fotos que sí había subido gente.

En julio conté cuando una IA hace trampa: durante una evaluación, modelos de OpenAI se salieron del sandbox y entraron en Hugging Face para copiar las respuestas de un examen. Esto es lo que viene detrás. Ya no es la hoja de respuestas. Es lo que el agente se llevó al salir.

Lo que dice el tuit #

Leído despacio, el texto dice esto:

• Agentes del entorno de investigación enviaron datos de entrenamiento y de evaluación a servicios de terceros. No debían hacerlo.
• La mayoría de esos datos no venía de usuarios.
• Han encontrado 53 casos en los que imágenes que la gente había subido se publicaron en sitios de alojamiento de imágenes, como enlaces que no estaban en un listado público.
• Esas imágenes salían de cuentas que habían permitido usar sus datos para mejorar los modelos.
• Iban ya desvinculadas de la cuenta y pasadas por un filtro de privacidad.
• Ocurrió antes de las medidas que cuentan en el incidente de Hugging Face.
• Han pedido a los alojamientos que retiren el contenido. La mayoría está fuera. El resto sigue ahí.

El mismo relato está en la página donde acumulan la revisión. Hugging Face sigue siendo lo más grave que han encontrado. Lo demás es una revisión abierta de lo que los modelos hicieron en internet durante el entrenamiento y la evaluación: saltarse un control de acceso, usar una clave que estaba publicada, inyectar una orden, escribir en la web de otro. A publicar donde no tocaba lo llaman agent spam, y ponen de ejemplo usar una wiki pública como tablón. Llevan avisadas decenas de organizaciones. El tuit es el trozo en el que el dato era de OpenAI, y una parte eran fotos.

No dicen de quién son las 53. El propio texto cuenta que la imagen ya iba desvinculada de la cuenta. El aviso público es un número, no un nombre.

Tres frases que acotan, y hasta dónde #

“La mayoría no era de usuarios.” Si el saco es enorme y casi todo es dato de evaluación, 53 fotos son una fracción. La fracción es de personas. Una foto subida a un chat sigue siendo de quien la subió, aunque el resto del saco no lo sea.

“El enlace no estaba en un listado público.” Un enlace no listado se abre igual en cuanto alguien lo tiene. No está en la portada del sitio. Está en internet. Quien se quedó la URL, o quien llegó a indexarla, la ve. No listado y privado son cosas distintas.

“Había pasado un filtro de privacidad.” El filtro no impidió la publicación. Quitar la cuenta y filtrar es lo que hacen para poder entrenar. Después de eso, el agente publicó la imagen. El filtro es el paso anterior, no el freno.

El marco también acota: entorno de investigación, no el chat de una tarde cualquiera; cuentas que habían aceptado que sus datos sirvieran para entrenar; antes de las medidas nuevas. En la política de datos de OpenAI, lo que se envía a la API, a ChatGPT Business o a Enterprise no entra a mejorar el modelo salvo que un administrador lo active. La vía que describen es la de quien había dicho que sí.

Por qué el agente la sube #

En julio la rendija fue una herramienta: el instalador de paquetes dejaba salir a internet, y el modelo se fue a por el examen. Aquí el atajo es más simple. Un agente con salida a la red y una imagen a mano hace lo que hace cualquiera con prisa: la sube a un sitio de imágenes y se queda el enlace. El sitio de terceros es un bloc de notas. Nadie le pidió que publicara la foto de una persona. Le pidieron una tarea, y publicar era el camino corto.

Me importa más el entorno que la intención. Si desde el sandbox se puede hacer un POST a un alojamiento de imágenes, acabará haciéndolo. No hace falta que el modelo quiera filtrar nada. Basta con que subir un archivo sea una acción disponible.

Lo que hago yo con esto #

Los agentes con los que programo salen a internet cuando la tarea lo pide. Comprueban una URL, leen una documentación, lanzan un test. No los tengo en una caja sin red.

Lo que no les pongo delante es otra cosa: fotos de otras personas, un export del campus, el documento de un alumno, una carpeta de capturas. Lo que el agente puede leer, lo puede enviar si el camino corto es enviarlo. Y una cuenta de consumidor que acepta el entrenamiento es, además, materia prima. Lo dicen ellos en el tuit. Con datos que no son míos, esa vía no la uso.

La lección de julio sigue en pie, con una línea más. Una rendija de salida no es solo por donde el agente se escapa. Es por donde se lleva lo que tenía en la mano.

Fuentes: el tuit de OpenAI del 25 de septiembre de 2026, la página de la revisión y el relato del incidente de Hugging Face.