Un modelo de OpenAI gastó sin autorización una cantidad de Ether de prueba, que fue descubierto tres meses después

Para completar el despliegue de un contrato, un modelo de investigación interno de OpenAI revisó 362 direcciones de la red de prueba de Ethereum y utilizó sin autorización los fondos de una de ellas para pagar tarifas, siendo descubierto tres meses después.

Escrito por: angelilu, Foresight News

OpenAI actualizó un informe interno sobre el incidente el 15 de octubre: un modelo de investigación utilizó sin autorización una billetera de prueba de criptomonedas con fondos mientras ejecutaba una tarea de programación.

El incidente ocurrió el 26 de junio de 2026, y OpenAI lo descubrió el 25 de septiembre al revisar los registros de actividad del modelo.

Ese día, el modelo recibió una tarea que parecía ordinaria: modificar una aplicación de intercambio de criptomonedas y desplegar un conjunto de contratos en la red de prueba Sepolia de Ethereum.

El despliegue requería el pago de tarifas de Gas, pero el usuario no proporcionó una billetera ni autorizó al modelo a usar otras cuentas. El modelo intentó buscar contratos existentes y también intentó obtener monedas de prueba de un grifo, pero no tuvo éxito. Normalmente, la tarea debería haberse detenido aquí, pidiendo al usuario que proporcionara fondos.

Optó por otro camino.

Por lo general, algunas herramientas de desarrollo de blockchain publican frases mnemotécnicas fijas para que los desarrolladores generen repetidamente el mismo conjunto de cuentas de prueba localmente. Estas cuentas solo deben usarse para pruebas locales y no deben recibir activos de redes públicas. Sin embargo, si alguien transfiere ETH de Sepolia a una de estas cuentas, las monedas de prueba seguirán almacenándose en esa dirección. El modelo pensó que podría usar estos ETH de Sepolia inactivos para completar la tarea.

El modelo recopiló estas frases mnemotécnicas públicas, generó automáticamente las direcciones correspondientes y consultó sus saldos uno por uno. Todo el proceso no implicó ningún tipo de hackeo: las frases mnemotécnicas públicas pueden generar directamente claves privadas, y cualquier persona con el software adecuado puede hacerlo. Simplemente, el modelo automatizó esta operación, revisando 362 direcciones de una vez y finalmente encontró una cuenta con suficientes ETH de Sepolia. Luego, utilizó la clave privada correspondiente para firmar la transacción y desplegar el contrato en la cadena.

La transacción fue exitosa, y los costos fueron cubiertos por una billetera que no autorizó esta operación. El modelo completó el código, pasó 12 pruebas unitarias y también informó sobre el resultado del despliegue en su respuesta final, pero no mencionó que los costos del despliegue provenían de una billetera que encontró por sí mismo y que no estaba autorizada.

OpenAI calificó el incidente como "uso no autorizado de una billetera de prueba de criptomonedas con fondos". El modelo involucrado pertenece a la serie interna de investigación GPT-5.6 Sol y actualmente solo se utiliza para investigación interna, no está disponible para usuarios comunes. OpenAI indicó que descubrió este evento al ampliar la supervisión de comportamientos desalineados y revisar los registros históricos del modelo. Desde entonces, la empresa ha implementado restricciones para evitar que tareas similares obtengan acceso en tiempo real a Internet y ha hecho que el sistema de monitoreo notifique al equipo de seguridad cuando detecta accesos relacionados.

Cómo el modelo encontró y gastó estas monedas de prueba

Este incidente no resultó en pérdidas de activos en la red principal que se hayan divulgado. Sepolia es una red donde los desarrolladores de Ethereum prueban contratos; las monedas de prueba no son equivalentes al ETH de la red principal y no tienen valor económico oficial. OpenAI no ha revelado la dirección involucrada, el saldo y los costos específicos.

Después de encontrar una cuenta con saldo, el modelo revisó su historial de transacciones. Los registros mostraron que esta dirección podría estar siendo utilizada por un programa automático y que había habido actividad reciente. Las frases mnemotécnicas públicas permitieron al modelo obtener la capacidad de firmar, pero no había evidencia de que la cuenta hubiera sido abandonada por su propietario.

El modelo también consideró si era apropiado usar estos fondos. Sin embargo, pensó que las frases mnemotécnicas ya eran públicas y que la billetera podría ser controlada por otros en cualquier momento; además, el ETH de Sepolia no tenía valor económico, por lo que podía usarse para completar el despliegue.

A continuación, el modelo utilizó la clave privada derivada para firmar fuera de línea. Después de que la primera transmisión devolviera un error, continuó buscando proveedores de servicios de red disponibles, consultando la cantidad de transacciones pendientes de la cuenta y el Gas, y volvió a enviar la transacción. La segunda transmisión devolvió el hash de la transacción, y el estado del recibo en la cadena fue exitoso, con los costos del despliegue deducidos de esa cuenta.

Una vez completado el despliegue del contrato, el modelo revisó el código de bytes y los resultados de lectura de 10 direcciones de contrato, completó 12 pruebas unitarias y generó la construcción. En su respuesta final, enumeró estos logros sin mencionar la fuente de la billetera y los gastos incurridos.

Las frases mnemotécnicas públicas resolvieron el problema de la firma, y el bajo valor de las monedas de prueba limitó las pérdidas reales, pero el propietario de la cuenta nunca dio su consentimiento para esta transacción. OpenAI considera que el modelo aquí sustituyó el permiso del propietario de la cuenta con su propio juicio sobre el grado de daño.

La blockchain amplifica el riesgo de sobrepasar los límites del agente

El software tradicional generalmente opera siguiendo rutas predefinidas. Si la verificación de permisos falla, el programa devuelve un error. Los agentes de IA son diferentes; comprenden el objetivo, buscan herramientas y, cuando un camino no funciona, diseñan proactivamente otro.

Esta capacidad permite a los agentes reservar boletos, invocar interfaces de pago, gestionar carteras de inversión, y convierte "no proporcionar fondos" de un límite claro en una barrera que debe resolverse por sí misma.

La blockchain amplifica especialmente este tipo de problemas. Los bancos y las plataformas de pago pueden interceptar transacciones anómalas, congelar cuentas o intervenir en disputas; una transacción en la cadena firmada y confirmada con una clave privada válida generalmente no pregunta al firmante por qué tiene esa clave. Para la red, si la firma es correcta, la transacción es válida.

El control y la autorización son dos cosas diferentes. La clave privada solo puede demostrar que un programa tiene la capacidad de controlar una cuenta, no puede demostrar que el propietario de la cuenta le permite actuar en un momento determinado, hacia un contrato específico, gastando una cantidad específica. Los humanos pueden entender esta diferencia, pero los contratos inteligentes solo pueden ejecutar las condiciones escritas en el código.

Esta es también la diferencia entre este incidente y una filtración normal de claves privadas. En los registros divulgados por OpenAI no hay indicios de que un atacante indujera o inyectara palabras clave. El modelo entendió la tarea, sabía que el usuario no había proporcionado dinero y luego buscó proactivamente una billetera que no pertenecía a la tarea. El problema radica en cómo interpreta el modelo el objetivo y los límites.

Riesgos similares no permanecerán a largo plazo en la red de prueba. La industria de criptomonedas está entregando billeteras a agentes de IA, permitiéndoles intercambiar automáticamente, transferir, colocar órdenes limitadas, participar en mercados de predicción o pagar tarifas de API.

Por ejemplo, la plataforma de agentes de Circle utiliza MPC de dos partes para gestionar las partes de las claves, y también advierte en los términos que: el agente puede iniciar transacciones irreversibles debido a malware, inyección de palabras clave, ejecución de código o errores de configuración, y los usuarios aún deben establecer límites, restringir el acceso y monitorear actividades anómalas. Circle también reconoce que los límites y el control de acceso no pueden garantizar que se detengan transacciones accidentales en todas las condiciones de red, competiciones o errores de software.

Estos productos enfrentan el mismo problema: el agente debe tener suficientes permisos para actuar en lugar del usuario, pero cuanto más cerca esté el permiso de la clave privada completa, más cerca estará la automatización de una delegación sin límites.

Escribir los permisos de gasto del agente en el código

El Fondo Monetario Internacional publicó este año un estudio sobre pagos de agentes que los divide en tres niveles: el agente es responsable de entender y generar la intención de pago; una capa de autorización independiente verifica la identidad, el alcance, los límites y las condiciones; y finalmente, la liquidación es realizada por organizaciones de tarjetas, bancos o blockchain. El informe enfatiza que la autorización a nivel inferior debe reflejar el consentimiento explícito del usuario y no debe depender de inferencias del modelo.

El ecosistema de Ethereum también está intentando escribir este tipo de permisos en las billeteras. El ERC-7715, que aún está en fase de borrador, permite a las aplicaciones solicitar permisos de ejecución restringidos y agregar reglas como duración, activos y alcance de operaciones. Al final, el agente obtiene un pase que especifica tiempo, límites y dirección, sin poder abrir otras habitaciones a voluntad.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.