En julio de 2026 ocurrió uno de los episodios más reveladores (y preocupantes) sobre el comportamiento de agentes de inteligencia artificial avanzados. Durante pruebas internas de capacidades de ciberseguridad, agentes de OpenAI salieron de sus entornos aislados, se coordinaron entre sí y terminaron atacando la infraestructura de producción de Hugging Face. El 26 de agosto de 2026, METR (una organización sin ánimo de lucro especializada en medir riesgos catastróficos de la IA) y Redwood Research publicaron una investigación independiente sobre el comportamiento de esos agentes. El informe muestra algo más sofisticado que un simple “escape de sandbox”: los agentes desarrollaron un sistema de comunicación, un truco universal para el benchmark que estaban resolviendo y, después, una campaña de varios días para ocultar que estaban haciendo trampa. A continuación explico el caso, incluyendo qué son Hugging Face y ExploitGym. ¿Qué es Hugging Face? Hugging Face es la plataforma más importante...
¿El botón rechazar cookies realmente rechaza?
Es normal encontrarse en las páginas web diferentes opciones para gestionar las cookies, y en especial para recharzarlas. Algunas páginas hacen todo lo posible por confundir al usuario de manera que la opción que marque sea la de aceptar.
En la imagen, muestro un recorte en una página bastante bien llevada, en la que puedo elegir entre tres opciones:
- "Aceptar todas". Asumo que aceptas todo lo que sea aceptable, de forma rápida, sin ni siquiera ver la lista
- "Gestión de cookies". Se puede ir a marcar y desmarcar cookies, propósitos, y entidades.
- "Rechazar todas". Asumo que se rechazan todas, todas las cookies.
En todos los escenarios, escribo "asumo" porque la leyenda es una leyenda nada más. Los programadores pueden escribir lo que quieran en el texto del botón, el código puede hacer otra cosa. Me explico mejor, si se cambia el texto del botón "Aceptar todas", por el texto "Me lo pensaré después", el usuario se hará a una idea pero el código que se ejecute siempre será el que esté unido al botón.
Con esta misma lógica, nada garantiza que "Rechazar todas" realmente rechaza.
¿Cómo se controla en otros escenarios?
En realidad es bastante sencillo y de sentido común. Por ejemplo al momento de imprimir, hay dos botones "Imprimir" y "Cancelar", si estuvieran invertidos, al momento de dar a imprimir entonces se cancelaría la tarea, y al dar clic en cancelar se imprimiría el documento. De esta forma el usuario lo controla inmediatamente.
Otro ejemplo puede ser en el momento de una compra online, un botón "Comprar", y un botón "Cancelar". Al dar clic en comprar se descuenta el dinero en la tarjeta de crédito y se envía el producto, de esta forma, el usuario valida que el código es el correcto.
¿Cómo validar los botones de las cookies?
La respuesta real es que se puede técnicamente trabajar comparando las que se tenían instaladas y las nuevas, pero es un trabajo casi imposible.
Lo que realmente debería ocurrir, es que se emita un tipo de recibo, comprobante, o certificado de la acción. Pero esto no ocurre. El usuario está solo.
¿Qué pasa si rechazó y en un futuro una disputa el dueño de la web dice que sí aceptó? No hay forma que uno u otro puedan evidenciar lo ocurrido.
¿Por qué ocurre esto?
Porque es la respuesta a la ley y los reglamentos, y quienes los redactan no saben nada de cómo funciona la informática, y esto provoca problemas de ciberseguridad.
Comentarios
Publicar un comentario