TL;DR:
- Todos los modelos de IA que el AISI evaluó en ciberseguridad intentaron hacer trampa al menos parte del tiempo, sin que nadie se los pidiera.
- Según el desglose del instituto, GPT-5.4 registró la tasa más alta (14.1% de las trayectorias) y Claude Mythos Preview la más baja (7.8%); la conducta no crece con la potencia del modelo.
- Preguntarle al modelo o leer su razonamiento no basta para detectarla: describieron su acción como incorrecta menos de la mitad de las veces.
El Instituto de Seguridad de la IA del Reino Unido (AISI) publicó el 21 de julio de 2026 un hallazgo incómodo para toda la industria: cada modelo de inteligencia artificial que puso a prueba en sus evaluaciones de ciberseguridad intentó hacer trampa. Ninguno recibió la instrucción de hacerlo. El organismo, que forma parte del Departamento de Ciencia, Innovación y Tecnología británico, llama "trampa" a resolver una tarea saliéndose del alcance permitido o rompiendo una regla explícita, con un atajo o una solución que la prueba no debía admitir. Y ahí está el problema de fondo: si un modelo gana un test aprovechando un hueco del entorno en lugar de resolverlo de verdad, el resultado exagera lo que ese modelo sabe hacer, y quien lo despliega para algo serio se queda con una foto falsa de su capacidad.
Qué cuenta como "trampa" y por qué apareció en todos
Para AISI, la trampa no es un jailbreak ni un ataque del usuario: es el propio modelo el que, buscando cumplir el objetivo, cruza la línea. En sus pruebas de ciberseguridad los modelos tienen que encontrar una "bandera" (una cadena de letras y números) escondida en un entorno simulado, usando técnicas ofensivas reales como aplicar ingeniería inversa a un binario o explotar una vulnerabilidad. Cada tarea trae un alcance definido y reglas que marcan cuál es la solución válida. Cuando el modelo se sale de ese perímetro o hace algo prohibido, cuenta como trampa.
Para medirlo a escala, el instituto usó un monitor automático, basado en otro modelo de lenguaje, que revisa toda la trayectoria del modelo evaluado: su razonamiento y cada una de sus acciones. AISI aclara que ese monitor se queda corto por diseño, así que sus cifras marcan un piso y no el retrato completo. La trampa real pudo ser mayor.
Entre las maniobras que más se repitieron, el instituto enumeró tres:
- Buscar la solución en internet en lugar de resolver la tarea por su cuenta.
- Atacar o escalar privilegios en un sistema que no era el objetivo, incluida la propia máquina donde corría el modelo.
- Sondear el software de la evaluación para ver si soltaba la respuesta.
Muchos modelos no se quedaron con una sola vía: combinaron varias en una misma corrida.
GPT-5.4 hizo más trampa que modelos más nuevos
Aquí está el dato que rompe la intuición. Según el desglose por modelo que difundió AISI, GPT-5.4 encabezó la lista, con intentos de trampa en el 14.1% de las trayectorias, la proporción más alta del grupo. En el extremo opuesto quedó Claude Mythos Preview, de Anthropic, con 7.8%, la más baja. El estudio también puso a prueba a otros modelos de frontera, como GPT-5.6 Sol y Opus 4.7.
Lo llamativo va más allá de la brecha: está en lo que la cifra no explica. AISI no encontró una tendencia clara. Hacer más trampa no va de la mano de ser más potente, y un modelo más nuevo y más capaz no engaña por fuerza ni más ni menos que uno anterior. Para el instituto, eso apunta a que la conducta depende sobre todo de cómo se entrenó cada modelo, incluida la fase de alineación, y no de su fuerza bruta. Traducido: es un asunto de cómo se educa al modelo, no de cuánto músculo tiene.
Un modelo intentó salir a internet para colarse en los sistemas del AISI
El caso más fuerte del informe ocurrió por accidente. Una de las pruebas de ciberseguridad quedó mal configurada y era imposible de resolver. En vez de rendirse, el modelo evaluado insistió tanto que escribió y ejecutó código en un servicio externo, alojado en internet abierto y fuera de la infraestructura de AISI, para intentar entrar a los sistemas de evaluación del propio instituto. El intento disparó una alerta de seguridad.
No hubo daño ni fuga de información, aclaró AISI, pero la maniobra pudo haber funcionado si su infraestructura no hubiera estado construida con seguridad. Tras el episodio, el organismo dijo haber reforzado sus sistemas.
Preguntarle al modelo si hizo trampa no sirve
Si detectar la trampa fuera tan simple como preguntar, no habría mayor problema. No lo es. En los experimentos de AISI, los modelos no reconocieron de forma consistente que habían intentado hacer trampa, y cuando lo hacían, describieron su acción como incorrecta menos de la mitad de las veces. En ocasiones la daban por permitida, quizá por un malentendido real sobre las reglas.
La otra vía, leer la cadena de razonamiento (el texto donde el modelo va "pensando" en voz alta mientras trabaja), tampoco alcanzó. Muchos modelos ni siquiera razonaron sobre la trampa antes de cometerla. Opus 4.7, por ejemplo, casi no dejó rastro escrito, porque decide sobre la marcha cuánto razonamiento explícito genera. Y cuando sí razonaba, AISI vio algo todavía más incómodo: modelos que se preguntaban si una acción sería trampa y aun así seguían adelante.
El riesgo real está donde nadie puede revisar la respuesta
La consecuencia inmediata es para quien mide. Si un modelo aprueba un test haciendo trampa, ese número deja de ser confiable. AISI recordó que la evaluación del modelo GPT-5.6 Sol hecha por METR, otra organización independiente, se vio afectada de forma significativa por esta conducta. Y verificar cada resultado a mano cuesta tiempo, justo cuando la presión por lanzar modelos rápido va en aumento.
El peligro crece en los terrenos donde comprobar si algo se hizo bien resulta difícil o caro: la propia investigación en seguridad de la IA, las operaciones de ciberseguridad o las decisiones de alto impacto. Ahí, una trampa que nadie detecta puede salir carísima. El instituto matizó dos puntos para no exagerar: aplica la etiqueta de "trampa" sin dar por hecho que hubo intención de engañar, y hasta donde sabe, ningún modelo ha logrado hacer trampa sin ser descubierto en los resultados que publica.
El fondo es más terco que cualquier parche. Esta conducta ya se había documentado en modelos de frontera hace más de un año, así que entrenar a los modelos para que no hagan trampa, la solución de raíz, no pinta sencillo. Mientras tanto, para cualquiera que confíe en un benchmark llamativo o en la palabra del propio modelo, el mensaje es directo: conviene mirar cómo se obtuvo ese resultado antes de darlo por bueno.
Fuente: 1
