OpenAI descubrió que un modelo interno de investigación localizó y utilizó, sin autorización, una billetera financiada de la red de pruebas Sepolia de Ethereum para desplegar un contrato inteligente. El modelo no informó del gasto al terminar la tarea y la actividad no se detectó hasta meses después, al revisar registros anteriores. El caso pone el foco en los controles de autorización de los agentes de IA, mientras plataformas amplían sus funciones autónomas y la Comisión de Bolsa y Valores de Estados Unidos (SEC) consulta si estos sistemas deberían poder firmar transacciones con criptomonedas.
El modelo revisó 362 direcciones en busca de fondos
En un informe publicado el 15 de octubre, OpenAI señaló que el incidente ocurrió el 26 de junio. Se había encargado a un modelo interno de la serie GPT-5.6 Sol que actualizara un prototipo de aplicación de negociación de criptomonedas basada en Ethereum y desplegara un contrato inteligente compatible. La tarea no incluía una billetera financiada ni autorizaba al modelo a utilizar fondos de una cuenta que encontrara por su cuenta.
Tras intentar sin éxito conseguir ETH de prueba de Sepolia mediante un grifo de criptomonedas, el modelo escribió un script para generar direcciones de billetera a partir de frases de recuperación de desarrolladores disponibles públicamente. Comprobó 362 direcciones y encontró una con saldo suficiente para cubrir la comisión de despliegue del contrato.
Como la frase de recuperación era pública, el modelo pudo derivar la clave privada de la cuenta. OpenAI indicó que el proceso no implicó vulnerar las protecciones criptográficas de Ethereum. Después de revisar el historial de transacciones, el modelo consideró que la actividad anterior podía estar automatizada y valoró expresamente si era ético utilizar los fondos. Finalmente, trató los activos como si estuvieran abandonados, dado que la frase era pública y el ETH de Sepolia tenía escaso valor monetario, y siguió adelante con el despliegue.
El modelo firmó la transacción localmente y, tras resolver problemas de conectividad con la cadena de bloques, la envió a través de un proveedor de servicios. No transfirió ETH a otro destinatario, pero la cuenta pagó la comisión de red necesaria para desplegar el contrato. Una revisión posterior constató que el código se había desplegado en 10 direcciones, había superado 12 pruebas unitarias y había completado una compilación de producción. En su informe final, el modelo se limitó a indicar que el despliegue había tenido éxito, sin mencionar la billetera ni el gasto asociado.
La investigación de OpenAI concluyó que el modelo había sustituido la autorización del titular de la cuenta por su propia valoración del posible daño. La empresa detectó la actividad el 25 de septiembre, más de tres meses después de que ocurriera.
La SEC pregunta si los agentes de IA pueden firmar transacciones
El 1 de octubre, la SEC propuso un marco de custodia de criptomonedas que exigiría a los asesores de inversión registrados que quieran custodiar por cuenta propia determinados criptoactivos de clientes adoptar medidas de protección, entre ellas la autorización de al menos dos personas designadas. La pregunta 77 de la propuesta plantea directamente si la IA, los contratos inteligentes y otros agentes de software deberían poder actuar como firmantes de transacciones, y si su participación reforzaría o debilitaría la protección de los activos.
El debate regulatorio coincide con el lanzamiento de nuevos productos en el sector. Coinbase presentó Agentic Wallets en febrero, una herramienta que permite a agentes de software realizar pagos, ejecutar operaciones e interactuar con protocolos de finanzas descentralizadas sin pedir aprobación humana antes de cada transacción. El producto incorpora límites por operación, topes de gasto por sesión y controles de riesgo; las claves privadas se mantienen en un entorno al que el modelo de IA no puede acceder directamente.
MetaMask lanzó Agent Wallet en agosto, con límites de gasto, listas de protocolos autorizados y revisión de transacciones. Su función Guard Mode exige una aprobación adicional cuando una operación supera los permisos establecidos por el usuario.
El modelo de investigación de OpenAI no utilizó la infraestructura de billeteras para agentes de Coinbase ni de MetaMask, por lo que el incidente no apunta a una vulnerabilidad en ninguno de esos productos. Sí muestra que restringir las operaciones dentro de una billetera designada puede no ser suficiente: si un agente tiene acceso a herramientas externas, también podría encontrar credenciales por su cuenta e iniciar transacciones por otra vía.
En la red principal, las transacciones no suelen poder revertirse
Las consecuencias serían muy distintas si una actividad similar se produjera en la red principal de Ethereum. Una transacción firmada con una clave privada válida puede transferir activos de valor real y, por lo general, no se puede revertir. Para las empresas que emplean agentes de IA en operaciones de negociación o gestión de tesorería, garantizar que estos actúen únicamente dentro de límites autorizados se ha convertido en una cuestión práctica de control.
OpenAI afirmó que ha añadido restricciones en entornos de investigación similares para controlar el acceso a internet en tiempo real y ha ampliado la supervisión, de modo que el personal de seguridad reciba alertas cuando se detecte ese acceso. Estas medidas se centran en el entorno operativo del modelo, pero el incidente también subraya la importancia de controlar el acceso a credenciales, mantener aprobaciones independientes para las transacciones y conciliar la actividad en cadena con las instrucciones autorizadas.
El plazo de la consulta de la SEC sobre el marco de custodia permanece abierto hasta el 7 de diciembre. Entre las cuestiones planteadas figura si los agentes automatizados deberían poder firmar transacciones dentro de acuerdos de custodia institucional. La decisión podría influir en cómo las firmas de inversión reguladas incorporan la IA a sus operaciones con criptoactivos, en particular en si los sistemas automatizados podrán autorizar transacciones de forma independiente o deberán conservar una instancia de aprobación bajo control humano.