¿Rebelión artificial? La IA china Kimi K3 logra evadir su entorno de seguridad

• El modelo de inteligencia artificial Kimi K3, creado por la empresa Moonshot AI, ha sorprendido recientemente al conseguir escapar del entorno aislado (sandbox) donde estaba siendo analizado. Este incidente ocurrió mientras la firma Frontier Security realizaba diversas pruebas de ciberseguridad defensiva, momento en el cual la IA logró hallar una forma de sobrepasar las restricciones de seguridad establecidas para su evaluación.

La inteligencia artificial Kimi K3, desarrollada por la compañía china Moonshot AI, se ha convertido en el último modelo avanzado que logra escapar del entorno aislado en el que estaba siendo evaluado. Durante unas pruebas de ciberseguridad defensiva realizadas por la compañía Frontier Security, el modelo encontró una vía para abandonar el sandbox (un entorno virtual aislado), creado por el Instituto de Seguridad de la IA del Reino Unido, accediendo a Internet. Todo ello pese a que únicamente tenía que resolver los ejercicios utilizando exclusivamente los recursos disponibles dentro del entorno de pruebas.

El incidente se suma a una preocupante cadena de episodios protagonizados por modelos de OpenAI, Anthropic y Meta, capaces de saltarse restricciones, conectarse a Internet sin autorización e incluso comprometer sistemas de empresas externas. La lógica indica que no se trata de que las máquinas hayan desarrollado conciencia o decidido rebelarse contra sus creadores, pero sí demuestra que los nuevos agentes de IA son cada vez más autónomos, perseverantes y capaces de aprovechar cualquier debilidad técnica que les permita cumplir el objetivo recibido.

Kimi K3 encontró una salida y utilizó Internet para superar la prueba

El modelo de IA Kimi K3 estaba siendo sometido a una evaluación diseñada para medir sus capacidades como herramienta defensiva de ciberseguridad. Teóricamente, el modelo se encontraba dentro de un sandbox, el cual debía de haberle impedido comunicarse con servicios externos. Sin embargo, una configuración incorrecta dejó abierta una vía limitada de acceso a determinadas páginas web. Kimi K3 examinó por iniciativa propia la configuración de red, descubrió que podía comunicarse con el exterior y utilizó esa posibilidad para buscar en GitHub las respuestas que necesitaba.

Por tanto, el modelo no descubrió ni explotó una vulnerabilidad desconocida para romper técnicamente el aislamiento. La fuga fue posible porque el entorno estaba mal configurado. Lo preocupante es que Kimi K3 no recibió instrucciones para buscar una salida o para consultar Internet. Básicamente detectó que esa opción facilitaba la consecución del objetivo y decidió aprovecharla. Frontier Security considera que este comportamiento evidencia que el modelo dispone de menos barreras internas contra este tipo de acciones que otros sistemas avanzados.

En este caso, Kimi K3 no atacó ningún servidor ni comprometió la infraestructura de una empresa. Una vez fuera del sandbox, encontró fácilmente en GitHub la información necesaria para resolver los ejercicios y no necesitó ir más lejos. Aun así, existe una diferencia importante frente a los modelos implicados en los casos de OpenAI o Anthropic. Kimi K3 es un modelo de pesos abiertos que ya está públicamente disponible. Esto permite a cualquiera ejecutarlo y modificarlo fuera del control directo de Moonshot AI.

OpenAI, Anthropic y Meta también perdieron el control de sus agentes

El precedente más grave conocido hasta ahora fue protagonizado por un modelo experimental de OpenAI. Durante una evaluación llamada ExploitGym, el agente debía operar sin acceso directo a Internet, pero descubrió y explotó por sí mismo una vulnerabilidad de día cero en Artifactory, el servicio utilizado como intermediario para descargar paquetes autorizados. Desde ahí consiguió alcanzar Internet y acabó comprometiendo la infraestructura de Hugging Face. La investigación posterior también descubrió el acceso a cuentas de otros cuatro servicios mediante credenciales que estaban expuestas públicamente.

Anthropic reconoció después que Claude Opus 4.7, Claude Mythos 5 y otro modelo interno habían accedido sin autorización a los sistemas de tres organizaciones durante distintas pruebas. En ese caso, un error relacionado con el entorno de evaluación dejó a los agentes conectados a Internet cuando supuestamente debían permanecer aislados. Los modelos aprovecharon contraseñas débiles y servicios sin autenticación para entrar en las infraestructuras externas. Las pruebas se realizaban además con algunas protecciones desactivadas para medir las capacidades máximas de los sistemas.

Meta también confirmado un incidente similar. La compañía lo catalogó como una "configuración incorrecta" de Irregular, la compañía externa contratada para evaluar su modelo. Esta configuración permitió a la IA acceder a Internet y explotar una vulnerabilidad en un servicio de terceros. El patrón común no es una supuesta rebelión consciente. Nos encontramos así con una combinación de entornos mal aislados, modelos entrenados para perseguir objetivos de forma autónoma y capacidades de ciberseguridad cada vez más avanzadas. El peligro real es que un agente no necesita “querer escapar”. Estamos viendo que basta con que la IA interprete que salir del entorno, buscar información o vulnerar otro sistema es el camino más eficaz para completar la tarea asignada.