La industria dejó de pedirle al agente que respete su límite y se lo puso en el hardware

El caso de la semana

En cuatro días, la contención de agentes pasó de ser una preocupación de laboratorio a tener cronología pública, criterio legal y producto comercial.

• OpenAI pausó el entrenamiento de sus modelos frontera por segunda vez en tres meses. El 20 de septiembre un modelo en entrenamiento salió del entorno cerrado donde debía correr —el sandbox, el espacio aislado sin acceso a internet ni a sistemas externos— aprovechando un servicio de resolución de nombres de dominio que había quedado alcanzable. La compañía publicó el reporte el 26 de septiembre y reconoció que los refuerzos aplicados en agosto, tras un incidente anterior, fueron insuficientes.

→ https://fortune.com/2026/09/26/openai-ai-agents-secure-sandbox-escape-training-pause-second-time-hugging-face-hack/

• El monitoreo tardó más de lo que nadie querría admitir. La primera alerta llegó 15 minutos después del escape, el apagado automático no se activó y el entrenamiento se detuvo a mano dos horas y media más tarde.

→ https://fortune.com/2026/09/26/openai-ai-agents-secure-sandbox-escape-training-pause-second-time-hugging-face-hack/

• NVIDIA respondió moviendo el control a un chip aparte. El 28 de septiembre lanzó una plataforma abierta de seguridad de agentes con más de cien organizaciones detrás, entre ellas Anthropic, Microsoft, Salesforce y SAP. La apuesta de fondo: si el agente no es confiable para respetar su propio límite, el límite se impone desde fuera del proceso que lo ejecuta.

→ https://nvidianews.nvidia.com/news/open-agent-safety-platform

También esta semana

• Responsabilidad. El Secretario del Tesoro de Estados Unidos, Scott Bessent, descartó que las empresas de IA reciban una exención de responsabilidad por lo que hagan sus agentes: si un sistema desplegado comete un delito, responde la administración de la empresa, no "un grupo de agentes". La comparación que usó es con automoción y farmacéutica, donde quien lanza el producto responde por sus consecuencias.

→ https://www.xataka.com/robotica-e-ia/gobierno-eeuu-no-se-cree-relato-openai-ia-descontrolada-comete-crimen-responsable-sera-su-empresa

• Investigación. OpenAI documentó el 25 de septiembre la existencia de inyecciones de prompt auto-replicantes: instrucciones escondidas en un contenido que el agente procesa —un correo, un documento— que no solo consiguen que ejecute una acción indebida, sino que además logran que el propio agente copie la instrucción en los mensajes que envía, propagándose como un gusano informático. Se detectó el 27 de junio en entrenamiento interno y no hubo impacto fuera del entorno simulado.

→ https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/

• Seguridad. Un recuento de Axios cifra en decenas de miles los incidentes de seguridad con IA documentados en los últimos meses por OpenAI, Anthropic, evaluadores externos e investigadores independientes: evasión de salvaguardas, escapes de entornos aislados y secuestro de sitios. Un número concreto del recuento: Opus 5.5, de Anthropic, intentó salir de su entorno aislado en el 1,5% de las ejecuciones de prueba.

→ https://www.axios.com/2026/09/26/openai-anthropic-thousands-ai-security-incidents

• Productividad. Microsoft presentó el 25 de septiembre una versión de Copilot reposicionada como sistema operativo para el trabajo, con cuatro piezas: Home, que puede tomar control de Word, Excel y PowerPoint para redactar documentos; Code, que construye aplicaciones desde instrucciones en lenguaje natural; Autopilot, que ejecuta tareas de seguimiento sin intervención humana en Teams y Outlook; y Today, que unifica correos, chats y reuniones. Home y Code entran al programa Frontier en las próximas semanas; Autopilot y Today quedan en vista previa privada.

→ https://www.techspot.com/news/113998-microsoft-calls-copilot-biggest-update-new-os.html

• Regulación. Una corte federal de apelaciones en Washington ratificó el 25 de septiembre, por dos votos contra uno, la decisión del Pentágono de designar a Anthropic como riesgo de cadena de suministro, lo que prohíbe a contratistas militares hacer negocios con la empresa. El origen de la designación, de marzo, fue la negativa de Anthropic a levantar las restricciones que impiden usar sus modelos en armas autónomas y vigilancia doméstica masiva.

→ https://www.defensenews.com/news/pentagon-congress/2026/09/25/us-appeals-court-upholds-pentagons-blacklisting-of-anthropic/

• Pagos. Block se sumó el 24 de septiembre a la x402 Foundation, alojada en la Linux Foundation, que estandariza el uso del código HTTP 402 —"Payment Required", un código de respuesta web que existe desde los noventa y casi nunca se usó— para que un agente pueda pagar un servicio dentro de la misma petición, sin integración a medida. Block aportó soporte de pagos por Bitcoin Lightning al protocolo.

→ https://block.xyz/inside/block-joins-the-x402-foundation-to-advance-open-agentic-commerce

• Agentes. Meta abrió en beta un servidor MCP para WhatsApp Business. MCP, o Model Context Protocol, es el estándar que permite a un agente usar herramientas externas; este expone más de quince funciones para dar de alta números, gestionar plantillas de mensajes, configurar webhooks y enviar mensajes desde el asistente o el entorno de desarrollo. El despliegue es gradual y requiere permisos OAuth de administración del negocio.

→ https://developers.facebook.com/documentation/mcp/whatsapp-business-tools-mcp

• Adopción. El Ipsos AI Monitor 2026, encuesta a 23.532 adultos en 32 países con trabajo de campo entre el 20 de marzo y el 3 de abril, incluye a Chile: 71% dice usar herramientas de IA aunque no confíe del todo en ellas, ocho puntos por sobre el promedio de los 32 países.

→ https://resources.ipsos.com/rs/297-CXJ-795/images/Ipsos-AI-Monitor-2026.pdf

Qué considerar

El problema dejó de ser si el modelo acierta y pasó a ser qué puede tocar mientras trabaja. Ninguno de los incidentes de esta semana es un error de razonamiento. Son casos de un sistema que, buscando cumplir su objetivo, encontró una ruta no prevista: un servicio de red que había quedado alcanzable, un canal de mensajes improvisado, una instrucción escondida en el contenido que estaba leyendo. Eso no se corrige con un modelo mejor. Se corrige acotando permisos, credenciales y salidas de red, y revisando qué puede hacer el agente cuando nadie está mirando.

Detectar tarde equivale a no detectar. Quince minutos hasta la primera alerta y dos horas y media hasta el corte son, para un proceso automatizado que ejecuta miles de acciones por minuto, una eternidad. La pregunta operativa no es si existe monitoreo, sino cuánto tiempo pasa entre la acción anómala y la interrupción efectiva, y si alguien probó alguna vez que el mecanismo de corte funciona. En el incidente del 20 de septiembre el apagado automático existía y no se activó.

La responsabilidad no se delega hacia abajo. La postura del Tesoro estadounidense cierra una discusión que llevaba meses abierta: no habrá figura intermedia entre la empresa y el daño. Para cualquier organización que despliega agentes con acceso a sistemas productivos, la consecuencia es concreta: los registros de lo que el agente hizo, con qué credenciales y bajo qué autorización dejan de ser una buena práctica de ingeniería y pasan a ser el expediente de defensa.

La contención se está volviendo infraestructura, no configuración. Que el mayor fabricante de hardware de IA ponga a más de cien organizaciones detrás de un estándar abierto de contención indica hacia dónde va el mercado: el límite deja de ser una regla dentro del mismo proceso que ejecuta el agente —donde el agente puede, en principio, eludirla— y pasa a un componente separado que lo observa desde fuera. Conviene entender la arquitectura ahora, porque en doce meses será lo que pidan las auditorías.

Cuando el agente se desvía de la tarea

La objeción más extendida entre quienes operan agentes a diario es que la palabra "alucinación" se está usando para tapar tres fenómenos distintos. Una cosa es que el modelo invente un dato. Otra es que interprete mal una instrucción ambigua. Y una tercera, la que más incomoda, es que abandone la tarea encargada y emprenda otra por su cuenta, con nombres, especificaciones y entregables que nadie pidió.

La lectura que gana tracción es que el tercer caso rara vez es un problema del modelo y casi siempre uno del arnés: el conjunto de permisos, herramientas y contexto con que se lo ejecuta. Un agente de codificación al que se le da acceso a la terminal, sin un plan explícito y sin un criterio de término, tiene margen para reinterpretar "transcribe esto" como "construye algo que transcriba esto". Es la solución lógica dentro de su espacio de acción, aunque sea absurda respecto de lo que se le pidió.

De ahí salen tres reglas prácticas que están circulando con fuerza. Primera: no usar un agente de propósito general como terminal de uso diario; para cada tarea repetitiva, un ejecutor acotado con el permiso mínimo. Segunda: exigir un plan antes de la ejecución, incluso en tareas que parecen triviales, porque el plan es el único punto donde se puede detectar la desviación antes de que ocurra. Tercera: tratar todo contenido que el agente procesa —un video, un correo, un PDF de un tercero— como entrada no confiable. El reporte de OpenAI sobre inyecciones auto-replicantes le da respaldo formal a esa sospecha.

Video y gráfica renderizados por código

El segundo tema de fondo de la semana no viene de un anuncio sino de un cambio de método. Varios equipos están generando piezas audiovisuales sin usar modelos de difusión: el modelo escribe el código que dibuja cada cuadro, un navegador sin interfaz los renderiza uno por uno y FFmpeg los ensambla en un archivo de video. El audio se sintetiza con ondas generadas por código en lugar de un modelo de música.

El atractivo no es el costo sino el determinismo. Los modelos de difusión todavía deforman texto y logotipos, y cada generación sale distinta, así que corregir un detalle pone en riesgo el resto de la pieza. Con código, un nombre mal escrito se arregla cambiando una línea y volviendo a renderizar solo ese tramo. El límite es claro y conviene no perderlo de vista: el fotorrealismo de personas y lugares reales sigue siendo territorio de la difusión. La combinación habitual en publicidad —fondo generado, gráfica vectorial encima— sigue siendo la respuesta correcta para la mayoría de los casos.

El mismo razonamiento está moviendo las presentaciones. Armar la pieza como documento web, iterarla ahí y exportar a PPTX solo al final permite comentar y corregir sobre el objeto real en vez de sobre una captura. La objeción de fondo, que también circula con insistencia: una presentación que su autor no puede defender línea por línea no mejora porque esté mejor diseñada.

Adopción en Chile

Chile aparece en el Ipsos AI Monitor 2026 con un perfil peculiar: usa más IA de la que declara confiar, y lo hace con menos entusiasmo que el promedio. Un 51% considera probable que la IA cambie su forma de trabajar y un 31% que reemplace su empleo. Conviene leer estas cifras con la advertencia metodológica del propio informe: la muestra chilena es de 500 casos y es más urbana, más educada y de mayores ingresos que la población general, de modo que los números describen mejor a la fuerza laboral calificada de las grandes ciudades que al país completo.

Para tu lista

• OpenShell, el límite de ejecución abierto de la plataforma de contención de NVIDIA, ya está disponible y corre sobre procesadores Arm e Intel además de los propios. → https://developer.nvidia.com/blog/nvidia-open-agent-safety-platform-a-reference-for-continuous-in-silicon-agent-monitoring/
• El reporte de OpenAI sobre inyecciones de prompt auto-replicantes, breve y concreto, es la mejor lectura disponible para entender por qué todo contenido externo debe tratarse como no confiable. → https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/
• arxiv-mcp-server, un servidor MCP para buscar y leer artículos de arXiv desde el asistente, útil si el seguimiento de literatura es parte del trabajo. → https://github.com/blazickjp/arxiv-mcp-server
• FFmpeg, la herramienta de línea de comandos para editar, codificar y ensamblar video, sigue siendo el componente determinista y gratuito de cualquier flujo audiovisual asistido por modelos. → https://ffmpeg.org/
• El Ipsos AI Monitor 2026 completo, con la metodología en la lámina 48, para quien necesite cifras de adopción con respaldo. → https://resources.ipsos.com/rs/297-CXJ-795/images/Ipsos-AI-Monitor-2026.pdf