De Gym a 3.2GW: OpenAI redefine el control de acceso

En 2016, OpenAI invitó a participantes externos a trabajar en entornos experimentales compartidos. Una década después, proyecta un centro de datos en Georgia con 3.2GW de capacidad eléctrica para operar sistemas cuyo valor depende de impedir que terceros accedan al modelo, los datos o la red sin autorización. Ambas decisiones tienen sentido, pero responden a concepciones distintas de lo que es un sistema de IA.

Al principio, un algoritmo producía un resultado y a los investigadores les preocupaba que nadie más pudiera reproducirlo. Ahora, un sistema de IA recibe contexto, utiliza herramientas, maneja credenciales y actúa dentro de instituciones. Antes se temía que los artículos científicos no pudieran reproducirse; hoy las instituciones temen las acciones no autorizadas, conforme el límite se desplaza de la publicación a la ejecución.

En 2016, la apertura resolvía el problema de reproducibilidad de la IA

Cuando OpenAI lanzó Gym en abril de 2016, el conjunto de herramientas ofreció a los desarrolladores entornos compartidos para probar algoritmos de aprendizaje por refuerzo. En diciembre de ese año, OpenAI presentó Universe y publicó como código abierto una plataforma en la que los agentes podían aprender mediante juegos, aplicaciones y sitios web. El planteamiento entendía el progreso como un problema de medición colectiva: ofrecer tareas comunes a los investigadores, permitirles repetir experimentos, comparar resultados, detectar debilidades y acelerar los avances del sector más de lo que podían hacerlo los laboratorios aislados.

OpenAI adaptó su modelo de gobernanza a esas condiciones de trabajo. Ante la falta de conocimiento confiable, la reproducibilidad reducía el desperdicio de recursos y dejaba al descubierto las afirmaciones sin sustento. Los entornos compartidos facilitaban el escrutinio, y ese escrutinio mejoraba los experimentos. La apertura generaba un círculo virtuoso porque lo que se ponía a disposición para su revisión eran materiales de investigación, no sistemas autorizados para actuar.

OpenAI no abandonó ese modelo con la llegada de los sistemas comerciales. En 2023, publicó Evals como código abierto para que los usuarios pudieran probar modelos, informar sobre deficiencias y orientar mejoras. La evaluación externa sigue cumpliendo una función necesaria. Un laboratorio que no puede medir una capacidad tampoco puede gobernarla, y un proveedor que solo ve sus propias pruebas únicamente detecta las fallas que su metodología sabe identificar. Evals puede mostrar lo que un sistema es capaz de hacer durante una prueba, pero no lo que podrá hacer una vez que alguien le otorgue credenciales.

De 2024 a 2026, la proporción de la cobertura sobre OpenAI enfocada en investigación bajó de 24.4% a 20.8%, mientras que la centrada en regulación subió de 12.2% a 15.5%. Esas proporciones no indican que la investigación se haya detenido; reflejan que cada vez más instituciones deciden dónde puede aplicarse.

La capacidad de actuar traslada la gobernanza de la prueba al control de permisos

El término agente de IA sigue siendo impreciso. Las empresas no coinciden en qué sistemas cumplen con la definición, y la adopción se ha concentrado en la eficiencia y la reducción de costos, no en sistemas autónomos que generen crecimiento de ingresos. El uso de la etiqueta se ha adelantado al despliegue, pero la arquitectura que describe resulta menos ambigua.

Sin importar la etiqueta, en cuanto un modelo puede utilizar programas de manera continua, las instituciones deben identificarlo, definir su función, limitar sus herramientas, aislar su ejecución, observar sus acciones y revocar el acceso cuando su comportamiento rebase algún límite. El modelo sigue siendo importante, pero los controles que lo rodean determinan lo que realmente puede hacer.

La plataforma Frontier de OpenAI hace explícita esa transición. Ofrece contexto compartido, procesos de incorporación y límites de permisos para un grupo reducido de clientes. Más adelante, la empresa añadió aislamiento nativo y un entorno de pruebas a su Agents SDK para desplegar agentes avanzados en tareas de larga duración. En conjunto, estos controles convierten la capacidad del modelo en trabajo institucional supervisado, como parte de un giro más amplio hacia la ejecución administrada.

Gym respondía una pregunta: ¿puede otro investigador reproducir este resultado? Frontier responde otras: ¿qué puede hacer este sistema aquí, con la autoridad de quién, durante cuánto tiempo y dentro de qué límites?

La diferencia se volvió tangible durante las pruebas de capacidades cibernéticas de OpenAI. La empresa afirmó que sus modelos encadenaron vulnerabilidades en su entorno de investigación y en la infraestructura de Hugging Face para superar la prueba ExploitGym. Ya sea que el episodio se describa como un éxito en la prueba o como una falla de contención, la cadena de vulnerabilidades atravesó sistemas de distintas organizaciones. La capacidad relevante del modelo no consistió únicamente en reconocer código defectuoso, sino en construir una ruta a través de varios entornos hasta conseguir un resultado.

Un agente sin credenciales, ruta de red ni permisos para utilizar herramientas puede hacer menos que un modelo de menor capacidad integrado en un flujo de trabajo permisivo. La predicción puede abaratarse, pero la acción sigue pasando por cuentas, interfaces de programación, entornos aislados, repositorios de datos y reglas de aprobación. Por ello, un comprador que compare agentes debe examinar los permisos que rodean a cada modelo, no solo sus resultados en pruebas de referencia.

Cinco gobiernos—Estados Unidos, Reino Unido, Australia, Canadá y Nueva Zelanda—han advertido que muchas organizaciones conceden a los sistemas con capacidad de actuar más acceso del que pueden supervisar de forma segura. La advertencia llega antes de que el despliegue autónomo generalizado tenga siquiera una definición estable. Las organizaciones se meten en problemas cuando los permisos que conceden superan su capacidad para observar el comportamiento de los sistemas.

Las primeras herramientas de OpenAI hicieron más útil el espacio compartido de investigación. Los agentes con capacidades cibernéticas convierten ese mismo espacio en una superficie de ataque, razón por la cual la infraestructura abierta de IA ahora necesita seguridad propia de infraestructura crítica. El diseño no se volvió incorrecto; lo que cambió es que un programa que antes solo podía evaluarse ahora puede recorrer el entorno encargado de evaluarlo.

El despliegue clasificado convierte al laboratorio en un operador de confianza

Los sistemas clasificados representan la versión más exigente de este cambio porque combinan modelos avanzados con datos que no pueden salir del entorno, redes que no pueden conectarse sin controles estrictos e instituciones que deben definir el uso lícito antes de cualquier ejecución. El proveedor ya no entrega únicamente un modelo: también asume la responsabilidad de proteger todo lo que lo rodea.

Según informes, el Pentágono ha analizado la creación de entornos seguros donde las empresas de IA puedan entrenar versiones de modelos para uso militar con datos clasificados. El Departamento de Defensa también ha celebrado acuerdos con AWS, Microsoft, Nvidia, Oracle y Reflection AI para utilizar herramientas de IA en redes militares clasificadas con fines operativos lícitos. Al describir su propio acuerdo con el Departamento de Defensa, OpenAI señaló que mantuvo sus límites infranqueables e incorporó salvaguardas inusualmente amplias para el despliegue clasificado.

Esas declaraciones describen una categoría de producto, no solo una postura normativa. Las instituciones que adquieren capacidades avanzadas también necesitan aislamiento, políticas de acceso, supervisión, atención de incidentes y registros sólidos que indiquen quién autorizó cada acción. En conjunto, estos controles conforman el control en la capa de despliegue, es decir, el mecanismo que determina dónde puede operar la inteligencia.

La decisión de Google de ofrecer Gemini 3.5 Flash Cyber primero a gobiernos y socios seleccionados demuestra que este patrón va más allá de OpenAI. Google entrega capacidades cibernéticas controladas mediante relaciones con entidades seleccionadas, en lugar de ofrecerlas como una descarga convencional de programas. La restricción no consiste únicamente en mantener en secreto los pesos del modelo. También supone afirmar que el proveedor puede distinguir a los operadores legítimos, limitar el entorno y administrar la capacidad después de conceder el acceso.

Esto invierte la función institucional original del laboratorio. Una organización de investigación pide a terceros que examinen su trabajo para aumentar la confianza en el resultado. Un operador de infraestructura de confianza pide a terceros que acepten límites de acceso para conservar la confiabilidad del entorno operativo. La confianza sigue siendo el objetivo; lo que cambia es el sentido del control de acceso.

La infraestructura de control tiene domicilio en Georgia

Los permisos aparecen en menús de programas, pero las máquinas que los hacen cumplir se encuentran dentro de edificios. OpenAI planea invertir más de $30 mil millones en un centro de datos en Georgia con 3.2GW de capacidad eléctrica, del cual está previsto que varios cientos de megavatios comiencen a operar a partir de 2028. Esa infraestructura controlada requiere subestaciones, sistemas de enfriamiento, servidores, fibra óptica, procedimientos de seguridad y capital suficiente para mantenerse disponible mientras las instituciones dependan de ella.

OpenAI incorporó a sus consejos al fundador de Nubank, David Vélez, y al director general de BNY, Robin Vince, mientras avanza hacia una cotización en bolsa. Gastó $1.2 millones en actividades de cabildeo federal durante el segundo trimestre, 18% más que en el trimestre anterior, mientras Sam Altman preparaba reuniones informativas con el gobierno y legisladores sobre los próximos modelos. Estos movimientos respaldan una misma función: operar capacidades de gran impacto dentro de instituciones que pueden imponer condiciones financieras, jurídicas y de seguridad.

La infraestructura de IA de esta escala no es simplemente una nube más grande. El centro de datos aporta capacidad, pero OpenAI también debe mantener separaciones claras entre clientes, conjuntos de datos, redes, herramientas y fines autorizados. Debe aplicar la política de cada institución hasta el nivel más profundo: aquello a lo que puede acceder el modelo mientras está en funcionamiento.

Un laboratorio de investigación puede comercializar un descubrimiento una vez que este funciona. Un operador de infraestructura debe financiar capacidad, asegurar el suministro eléctrico, construir el entorno, negociar el acceso institucional y definir las condiciones aceptables de operación antes de que llegue la carga de trabajo que dependerá de todo ello. Por lo tanto, OpenAI debe comprometer capital y gobernanza al mismo tiempo: un modelo clasificado no puede funcionar sin capacidad de cómputo segura, y esa capacidad no será confiable si carece de permisos que puedan hacerse cumplir.

La exclusividad de una capacidad es temporal; la confianza operativa debe resistir su difusión

El control puede generar una ventaja mientras las capacidades más potentes permanezcan concentradas. Sin embargo, no puede depender de esa concentración para siempre. El AI Security Institute determinó que los principales modelos de pesos abiertos estaban rezagados frente a los modelos cerrados de vanguardia en capacidades cibernéticas por cuatro a siete meses, frente a los seis a 10 meses observados durante la mayor parte de 2025. Cisco también publicó modelos de pesos abiertos para detectar vulnerabilidades conocidas en bases de código. Las capacidades útiles para la seguridad están adoptando formatos cada vez más fáciles de distribuir.

A medida que esa brecha se reduce, OpenAI no puede depender del acceso restringido como una barrera competitiva duradera. Cuando los modelos avanzados se difunden, los operadores se distinguen por decidir qué credenciales recibe un agente, qué entorno lo contiene, qué acciones requieren aprobación, qué registros se conservan y con qué rapidez pueden retirarle el acceso.

El transporte carretero ilustra la diferencia: que un vehículo supere una prueba en instalaciones controladas no vuelve seguro al sistema de transporte. Las licencias, los carriles, las señales, el mantenimiento y la respuesta a incidentes determinan lo que ocurre después de que el vehículo sale de las instalaciones. La evaluación sigue siendo necesaria, pero la operación determina las consecuencias para el público.

OpenAI no se ha limitado a pasar de lo abierto a lo cerrado. Puede mantener abierto Evals y, al mismo tiempo, condicionar la ejecución. La investigación puede seguir siendo colaborativa aunque el despliegue se vuelva selectivo, y la capacidad de los modelos puede difundirse aunque la operación institucional siga siendo difícil. Estas decisiones pueden coexistir porque cada capa responde a un tipo de falla diferente.

En 2016, OpenAI creó una prueba compartida e invitó a todos a participar. Una década después, su proyecto de mayor trascendencia es un control de acceso conectado a una red clasificada y respaldado por 3.2 gigavatios.