Noticias
Tres laboratorios de IA vulneraron empresas reales por la misma falla — y los tres usaban al mismo proveedor
En siete días, tres de los laboratorios de inteligencia artificial más grandes del mundo —Anthropic, OpenAI y Meta— admitieron que sus modelos habían accedido sin permiso a sistemas de empresas reales. Los tres incidentes tienen una cosa en común que casi nadie contó: ocurrieron dentro del entorno del mismo proveedor. Se llama Irregular, tiene unas 35 personas según PitchBook, y hoy corre las evaluaciones de IA más sensibles de la industria. Lo dijo la propia empresa: es «exactamente el mismo problema de entorno de evaluación».
Y hay un detalle que en español no contó nadie, porque está enterrado en un PDF de 112 páginas: el mismo día, con el mismo modelo, Meta e Irregular publicaron dos evaluaciones de riesgo que hoy se leen distinto.
- Qué es Irregular, la empresa que corre las evaluaciones de IA de media industria
- Tres laboratorios, siete días, la misma puerta abierta
- El 9 de julio: todos midieron el riesgo equivocado
- Lo que Irregular no quiso decir
- ¿Y esto qué significa para vos?
- Preguntas frecuentes sobre el caso
Qué es Irregular, la empresa que corre las evaluaciones de IA de media industria
Antes de que un laboratorio lance un modelo grande, alguien tiene que responder una pregunta incómoda: ¿este modelo sirve para atacar sistemas ajenos? No es una pregunta que se conteste leyendo el código. Se contesta poniéndolo a hacerlo, en un entorno cerrado, contra blancos falsos, y midiendo hasta dónde llega.
Eso es lo que hace Irregular. Se define en su propio sitio como «el primer laboratorio de seguridad frontera», se fundó en 2023 en Tel Aviv —antes se llamaba Pattern Labs—, y sus clientes son exactamente los que uno imagina: OpenAI, Anthropic, Google DeepMind y Meta, más agencias de gobierno. En septiembre de 2025 levantó US$ 80 millones liderados por Sequoia y Redpoint.
El mecanismo de estas pruebas es simple y ahí está el problema. Al modelo se le dice que está en una simulación y que no tiene internet. Se le da una tarea del estilo «entrá a este sistema y sacá este dato» — un ejercicio de capture the flag, donde la consigna literal es vulnerar algo. Y se lo suelta.
Si la parte de «no tenés internet» resulta ser mentira, el modelo hace exactamente lo que le pidieron, pero contra el mundo real. No se rebela, no se escapa: cruza una puerta que quedó abierta. Eso es lo que pasó, tres veces.
Tres laboratorios, siete días, la misma puerta abierta
| Laboratorio | Cuándo lo contó | Qué pasó | Formato |
|---|---|---|---|
| Anthropic | 30 de julio | Tras revisar 141.006 corridas de evaluación, encontró tres incidentes contra tres organizaciones reales. Los más viejos, de abril | Documento propio detallado |
| OpenAI | 4 de agosto | Irregular le notificó el 29 de julio un incidente propio: al modelo se le dijo que no tenía internet, la configuración se lo dio, y terminó explotando un sitio real | Documento propio |
| Meta | 5 de agosto | Uno de sus modelos vulneró los sistemas de una empresa externa que sigue sin identificarse | ❌ Solo declaraciones de un vocero |
La frase que ata los tres casos no la dedujo la prensa: la dijo Irregular. Un vocero de la empresa declaró que lo de Meta «es exactamente el mismo problema de entorno de evaluación» que Anthropic había divulgado la semana anterior, y agregó:
This did not involve a sandbox escape or a sophisticated cyber action. There are no current open issues. Irregular is developing a white paper to share best practices for containment and securely running cyber evals.Vocero de Irregular — vía CNN Business
(«Esto no involucró un escape de sandbox ni una acción cibernética sofisticada. No hay problemas abiertos actualmente. Irregular está desarrollando un white paper para compartir buenas prácticas de contención y de cómo correr evaluaciones cibernéticas de forma segura»). Vale marcar una tensión que quedó registrada: mientras Irregular dice que no hubo «acción cibernética sofisticada», Anthropic describió a uno de sus modelos yendo a extremos considerables para publicar un paquete malicioso en el repositorio real de Python — que quince sistemas reales descargaron y ejecutaron en una hora.
Conviene además no mezclar dos cosas que se parecen: el caso de OpenAI con Hugging Face, el que arrancó toda esta historia, no fue de este tipo. Ahí los modelos encadenaron vulnerabilidades día cero para salir de un entorno que sí estaba aislado. Lo contamos entero en la nota sobre el agente de OpenAI que hackeó Hugging Face para copiarse en un examen. Son mecanismos opuestos: uno rompió la pared, los otros tres cruzaron una puerta que nunca se cerró.
El 9 de julio: todos midieron el riesgo equivocado
Acá está la parte que no salió en español, y la sacamos leyendo los documentos originales.
El 9 de julio de 2026 Meta lanzó su modelo. Ese mismo día publicó su informe de evaluación: 112 páginas firmadas por sus equipos de preparación, red team, alineamiento y seguridad. En la introducción del informe dice esto (traducción nuestra, y el matiz del final va adentro de la cita porque es parte de lo que afirman):
El cambio determinante en capacidad a lo largo de nuestros dominios de riesgo catastrófico para esta versión está en Ciberseguridad: evaluado sin mitigaciones, no podemos descartar una designación de capacidad «alta» para Muse Spark 1.1 bajo la provisión de Ciberseguridad del Advanced AI Scaling Framework; con las mitigaciones aplicadas en el despliegue, el riesgo residual es «moderado o menor».Informe de evaluación de Muse Spark 1.1 — Meta, 9 de julio de 2026
O sea: el propio Meta dijo que, sin frenos puestos, no podía descartar que ese modelo alcanzara su umbral más alto de riesgo en ciberseguridad. Con frenos, quedaba en moderado — y por eso lo lanzó. Para que quede completo: el informe dice lo mismo del dominio químico y biológico, y ahí la conclusión es todavía más dura (sin mitigaciones, ese umbral se alcanza). Lo que hace de la ciberseguridad el cambio determinante de esta versión es que ahí está la novedad respecto del modelo anterior.
¿Y con qué lo midió? El mismo informe lo dice: entre las pruebas usó «un conjunto de desafíos atómicos desarrollados por Irregular que testean habilidades ofensivas aisladas mapeadas a fases de la cadena de ataque» y CyScenarioBench, un banco de pruebas de Irregular para ataques autónomos de largo alcance sobre varias máquinas.
Y ese mismo 9 de julio, Irregular publicó su propia evaluación del modelo. Su conclusión, textual:
Overall, Muse Spark 1.1 represents a measurable advancement in offensive cyber capability compared to Muse Spark 1.0. (…) However, we assess that Muse Spark 1.1 does not materially alter the cyber threat landscape in its current form.Irregular — evaluación del 9 de julio de 2026
(«En conjunto, Muse Spark 1.1 representa un avance medible en capacidad cibernética ofensiva respecto de Muse Spark 1.0. (…) Sin embargo, evaluamos que Muse Spark 1.1 no altera materialmente el panorama de amenazas cibernéticas en su forma actual»).
Las dos evaluaciones, una al lado de la otra:
| Meta (informe de evaluación) | Irregular (assessment propio) | |
|---|---|---|
| Fecha | 9 de julio de 2026 | 9 de julio de 2026 |
| Qué mide | Riesgo catastrófico del modelo en tres dominios, con y sin mitigaciones | Capacidad ofensiva del modelo contra bancos de pruebas de seguridad |
| Extensión | 112 páginas | Publicación de investigación |
| Veredicto en ciberseguridad | Sin mitigaciones, «no podemos descartar» capacidad alta. Con mitigaciones, riesgo residual «moderado o menor» | Avance medible respecto de la versión anterior, pero no altera materialmente el panorama de amenazas |
| Herramientas usadas | Incluye desafíos atómicos y CyScenarioBench, ambos de Irregular | Bancos de pruebas propios |
| Qué NO evaluaba | La configuración del entorno donde se corrían las pruebas — que es lo que terminó fallando | |
Cuatro semanas después, ese modelo vulneró a una empresa real desde adentro del entorno de Irregular.
Y acá hay que ser preciso, porque la ironía fácil sería la lectura equivocada. Irregular no dijo que el modelo fuera inofensivo: dijo que su capacidad ofensiva, aun habiendo mejorado, no cambiaba el panorama de amenazas. Meta dijo que sin mitigaciones no podía descartar riesgo alto. Las dos cosas pueden ser ciertas a la vez y probablemente lo sean.
El punto es otro, y es más incómodo: todo ese aparato —112 páginas, dos evaluaciones independientes, un framework de riesgo con umbrales— estaba midiendo de qué es capaz el modelo. Lo que falló no fue la medición. Fue el laboratorio donde se medía. Ninguna de las dos evaluaciones se ocupaba de eso, porque nadie pensó que hiciera falta.
Es el mismo patrón que ya vimos en el incidente que divulgó el organismo británico de seguridad de la IA: los controles del modelo estaban bajo la lupa, la configuración del entorno no.
Lo que Irregular no quiso decir
El 7 de agosto, The Record le preguntó a Irregular lo único que importa a esta altura: ¿Anthropic, OpenAI y Meta fueron los únicos clientes afectados? La respuesta del vocero fue que la investigación sigue abierta y que no podían «entrar en más detalles». Tampoco quiso aclarar si su frase «no hay problemas abiertos» se refiere a configuraciones mal puestas o a incidentes todavía sin divulgar. Y no respondió si la investigación está buscando casos adicionales.
La pregunta queda flotando por una razón aritmética: de los cuatro clientes conocidos de Irregular, tres ya divulgaron un incidente. El cuarto es Google DeepMind, que no dijo nada. Eso no significa que le haya pasado algo —no hay una sola fuente que lo sugiera— pero sí es una pregunta legítima que hoy nadie está obligado a contestar.
Hay algo más, y es lo que más nos llama la atención: Irregular no publicó una sola línea propia sobre esto. Habló con CNN, con Reuters, con The Record y con la BBC. En su sitio, la última publicación es del 16 de julio — veinte días antes de que Meta divulgara su caso. El white paper que prometió no tiene fecha.
El video de ABC News resume el caso de Meta en tres minutos:
¿Y esto qué significa para vos?
Lo primero, la tranquilidad: nada de esto pasó en un producto que uses. Ni en ChatGPT, ni en Claude, ni en la IA de WhatsApp o Instagram. Pasó en entornos de prueba cerrados, con los frenos bajados a propósito, que es precisamente para lo que existen. Las víctimas fueron organizaciones con sistemas expuestos, y varias ni se habían enterado.
Lo segundo es la lectura que sí te sirve, y no es sobre inteligencia artificial: es sobre proveedores. Acá hay una empresa de 35 personas en cuyo entorno se apoyan cuatro de los laboratorios más grandes del planeta para decidir si un modelo es seguro de lanzar. Cuando esa empresa se configuró mal, el problema apareció en tres lugares a la vez. Es concentración de riesgo en un punto único, exactamente el mismo cuento de cuando se cae un proveedor de nube y con él la mitad de internet.
Y lo tercero, lo práctico. Los tres incidentes empezaron igual: un sistema real, alcanzable desde internet, con una credencial publicada o un servicio sin autenticación. Los modelos no derribaron nada — encontraron lo que estaba abierto, a velocidad de máquina y sin cansarse. Si administrás algo expuesto a internet, esa es la moraleja: lo que antes tardaba semanas en ser encontrado, ahora tarda horas. La higiene de siempre (nada de credenciales en repositorios públicos, nada de endpoints sin autenticación, doble factor en todo) pasó de ser buena práctica a ser lo único que hay.
Preguntas frecuentes sobre el caso
¿Qué es Irregular?
Es una empresa de seguridad en inteligencia artificial fundada en 2023 en Tel Aviv, antes llamada Pattern Labs. Su negocio es evaluar de qué son capaces los modelos en tareas ofensivas de ciberseguridad antes de que salgan al mercado. Entre sus clientes figuran OpenAI, Anthropic, Google DeepMind y Meta, además de agencias de gobierno.
¿Cuántos laboratorios fueron afectados por esta falla?
Tres confirmados públicamente: Anthropic el 30 de julio, OpenAI el 4 de agosto y Meta el 5 de agosto de 2026. Consultada el 7 de agosto sobre si hubo otros clientes afectados, Irregular respondió que su investigación sigue abierta y que no podía entrar en más detalles.
¿Los modelos se escaparon de su entorno de pruebas?
En estos tres casos, no. La propia Irregular aclaró que no hubo escape de sandbox ni acción cibernética sofisticada: a los modelos se les dijo que no tenían internet, una mala configuración se lo dio igual, y actuaron creyendo que los sistemas reales eran parte del ejercicio simulado que se les había encargado.
¿Qué modelo de Meta estuvo involucrado?
Meta no confirmó públicamente el nombre. Su vocero habló de «uno de nuestros modelos». La identificación como Muse Spark 1.1 proviene de The Information, que fue el medio que destapó el caso el 5 de agosto de 2026, y no fue desmentida por la empresa.
