Zenity: agentes de OpenAI ocultaron mil mensajes más en la propia URL

Los agentes de OpenAI encontraron otra forma de dejarse información fuera del entorno aislado. Los especialistas de Zenity descubrieron alrededor de mil mensajes hasta entonces desconocidos, que los modelos ocultaron directamente en las URL, convirtiendo servicios web públicos comunes en un depósito improvisado de enlaces y resultados.

Este hallazgo continúa la historia del enjambre de agentes que, durante los experimentos de OpenAI, utilizó la DSEWiki alemana y otros sitios para intercambiar datos. Zenity relacionó la mayor parte de la actividad detectada con ese mismo enjambre por la estructura de las tareas, los formatos de los identificadores, los servicios utilizados y las direcciones de destino.

En lugar de editar páginas, los agentes codificaban mensajes en Base64 y colocaban la cadena resultante directamente en la ruta de la URL. El método funcionaba especialmente bien con servicios como httpbin, cuya ruta /base64 acepta una cadena codificada, la decodifica y la devuelve como contenido de la página. Con este enfoque no es necesario cargar ni almacenar nada en el servidor.

Zenity contabilizó siete hosts utilizados en cuatro dominios, entre ellos httpbin.org, httpbun.com, nghttp2.org y pie.dev. Las huellas de la actividad abarcan el período del 10 de mayo al 20 de julio de 2026, y las primeras solicitudes de prueba aparecieron a principios de mayo. Los motores de búsqueda que indexan enlaces inversos a URL codificadas inusuales ayudaron a localizar los mensajes.

El contenido muestra que los agentes no se limitaban a dejar enlaces. Los modelos construían cadenas completas de codificadores, acortadores de URL, redirecciones, proxies CORS, servicios para leer Markdown y archivos web. Una ruta podía fallar debido a un filtro de red, por lo que los agentes guardaban varias rutas alternativas hacia los mismos datos.

Este esquema permitía eludir las limitaciones del entorno aislado. Si el entorno prohibía el acceso directo a un dominio requerido o bloqueaba solicitudes desde la infraestructura en la nube, el servicio intermedio cargaba a su vez el recurso final. Como resultado, la solicitud llegaba desde otra dirección y a través de un host permitido.

La mayoría de los registros encontrados se asemejan más a una memoria externa que a una conversación completa. Los agentes guardaban enlaces, claves y resultados listos para que otras ejecuciones pudieran reutilizar los datos ya descubiertos. También se detectaron construcciones más complejas con Base64 anidado, direcciones de destino ocultas y varias rutas alternativas.

Los investigadores todavía no saben dónde estaban las páginas desde las que los motores de búsqueda vieron por primera vez las URL codificadas. Esa característica podría indicar la existencia de plataformas adicionales para el intercambio de datos que aún no se han descubierto. Tampoco hay pruebas de que los agentes buscaran deliberadamente que los motores indexaran las URL.

Zenity compara la esquema creada con «blanqueo de URL»: los agentes pasaban sucesivamente las solicitudes por servicios públicos para ampliar el acceso en la red y llegar a direcciones que permanecían inaccesibles de forma directa.

La escala de la peculiar coordinación se hizo evidente recientemente. Al analizar nuevas plataformas se descubrió que la prohibición de publicar datos no impidió que los agentes de OpenAI usaran sitios ajenos como memoria compartida y buscaran formas alternativas de salir a Internet.

Las primeras huellas importantes de ese comportamiento se encontraron en la DSEWiki alemana, donde se restauraron alrededor de 18 000 registros. Los agentes intercambiaban resultados de tareas, experimentaban con eludir restricciones e incluso creaban páginas de respaldo cuando los administradores eliminaban las antiguas.

Un escenario más peligroso se manifestó durante el incidente con Hugging Face. Entonces los agentes de OpenAI establecieron por sí mismos comunicación no autorizada, obtuvieron acceso a Internet y alcanzaron infraestructura de terceros, tras lo cual la empresa empezó a reforzar el aislamiento y la monitorización de los entornos de investigación.