Dos noventa y nueve

Sun, 06 Sep 2026 00:00:00 +0000

El 18 de agosto OpenAI frenó dos semanas el entrenamiento de Astra porque podía estar cruzando el umbral “Crítico” de su propio marco de preparación. La pausa duró exactamente lo anunciado: el 3 de septiembre el modelo salió publicado, designado Crítico. El 2, Nueva York prohibió la IA generativa a seiscientos mil chicos sin ninguna manera de saber si la usan. Y el mismo mes en que Pew midió cuánta web escribe una IA con un detector llamado Pangram, un producto que cuesta 2,99 dólares por mes anuncia en su portada que lo evade. Tres reglas, tres instrumentos, y en ningún caso el instrumento aguanta el peso de la regla.

Gobernanza

GPT-6 Astra salió el 3 de septiembre en preview limitada y es el primer modelo que OpenAI designa en el nivel Crítico de capacidad cibernética: encuentra vulnerabilidades desconocidas y desarrolla maneras de explotarlas en sistemas bien protegidos sin que nadie le guíe cada paso, sacó 100% en las pruebas de desarrollo de exploits y descubrió dos días-cero durante la evaluación. Hay que conceder lo que corresponde antes de objetar, porque es bastante: pararon, midieron, publicaron un documento de seguridad, y el modelo sale con salvaguardas que restringen el acceso a lo más filoso de esa capacidad. Hicieron, en resumen, todo lo que un marco voluntario pide.

El problema es lo que ese recorrido revela sobre el marco. Un umbral que se cruza y produce una publicación con mitigaciones, en lugar de una no-publicación, no es un umbral: es un sistema de etiquetado.¹ Y conviene no confundir esto con una acusación de mala fe, porque la alternativa —que un laboratorio se autoimponga no publicar indefinidamente lo que ya construyó, mientras sus competidores construyen lo mismo— nunca estuvo sobre la mesa y probablemente tampoco sea deseable. Lo que sí quedó establecido es quién decide. Se paró por señales internas, se midió con pruebas propias, se designó con una escala propia y se publicó con mitigaciones propias, y la única instancia externa que entró en la secuencia fue nacional.

Porque en la misma semana el subdirector de la NSA dijo que la agencia quiere acceso a “todos” los modelos comerciales, apoyada en la orden ejecutiva de junio que le da al gobierno estadounidense hasta treinta días de acceso previo a la publicación y que pone al director de la NSA a decidir qué cuenta como “modelo de frontera cubierto”. El desajuste de escalas es el punto: la revisión previa es de un país y el despliegue es planetario. Y el segundo movimiento del mismo gobierno completa la figura. El 1 de septiembre el Departamento de Justicia presentó un escrito respaldando a OpenAI contra el New York Times, sosteniendo que entrenar modelos con material con derechos de autor es uso legítimo y que “las posibilidades creativas y los beneficios públicos” superan largamente cualquier daño competitivo. Es la primera vez que el Estado se mete en esta ola de litigios, y las dos posiciones son perfectamente coherentes entre sí: la capacidad es un activo nacional que el Estado quiere ver antes que nadie, y sus insumos son un recurso público que nadie tuvo que pedir permiso para usar.

Anthropic, mientras tanto, publicó el 1 de septiembre Fable 5.1 y Mythos 5.1: el mismo modelo de base bajo dos regímenes de salvaguardas. Fable está disponible en general por API y en las nubes; Mythos —el que tiene reducidas las salvaguardas de ciberseguridad y de biología, pensado para inteligencia de amenazas, descubrimiento de vulnerabilidades, red teaming y biodefensa— está restringido a un conjunto de organizaciones verificadas de Estados Unidos, con la empresa coordinando con el gobierno estadounidense para extenderlo después a socios domésticos y luego internacionales. Léase la secuencia despacio, porque es la noticia de la semana para la región y no la va a titular nadie: la capacidad ofensiva se distribuye globalmente por API, y la capacidad defensiva se asigna por nacionalidad y en ese orden. Un equipo de respuesta a incidentes de Montevideo, de Bogotá o de Nairobi recibe esta semana la superficie de ataque y no la herramienta, y su lugar en la fila lo decide un proceso de verificación al que no puede postularse.

Educación

El 2 de septiembre el canciller escolar Kamar Samuels y el alcalde Zohran Mamdani anunciaron que Nueva York suspende por un año el uso de IA generativa por parte de los estudiantes desde el nivel inicial hasta octavo grado: casi seiscientos mil chicos, dos tercios de la matrícula del distrito escolar más grande del país. En secundaria la política es otra: una lista corta de cinco plataformas aprobadas, dos módulos de cuarenta y cinco minutos por año sobre cómo funciona la tecnología, sesgo, ética e impacto laboral, y pilotos supervisados para hasta cincuenta mil estudiantes. Los docentes pueden usarla para planificar clases y tareas operativas, y no para calificar ni evaluar. Una coalición de docentes, familias y estudiantes va a evaluar el efecto de la moratoria y recomendar qué hacer el año próximo.

Es mejor política de lo que sugiere el titular, y vale decirlo antes de objetar nada. Una moratoria de un año con un cuerpo evaluador y una fecha de revisión es la forma honesta de decir “no sabemos”, que es más de lo que hizo casi cualquier ministerio de la región; la parte de secundaria no prohíbe nada, enseña; y la cláusula sobre docentes es la única del paquete que efectivamente se puede verificar, además de estar bien orientada a la luz de lo que sabemos sobre corrección automática. El problema está en la otra mitad, la que rige sobre lo que un chico de doce años hace en su casa un domingo a la noche, y que depende para su cumplimiento de una capa de detección que esta misma semana quedó, otra vez, en evidencia.

Sewkal cobra 2,99 dólares por mes por la operación del medio.

Sewkal se presenta como un “santuario de escritura con IA” y promete humanizar un texto preservando la intención de quien lo pidió. Cobra 2,99 dólares por mes en su plan básico —diez mil palabras—, 9,99 el plan intermedio y 19,99 el más caro. Dice, con todas las letras, estar hecho para estudiantes, y exhibe en su portada los logos de Harvard, Yale, Princeton, Columbia, Cornell, MIT, Berkeley, Duke y NYU, que no son clientes sino decorado. Y enumera los detectores que evade: Turnitin, GPTZero, Originality.ai, Copyleaks, Winston AI, QuillBot y Pangram. No hay en todo el sitio una línea sobre integridad académica, lo que al menos tiene el mérito de la franqueza.

La lectura fácil es que estamos otra vez en el juego del gato y el ratón, y que cada detector nuevo dura hasta el próximo evasor. La lectura útil es otra, y aparece cuando se pone al lado el trabajo que dirigió Cambridge y se publicó en mayo: tres sistemas de frontera corrigiendo más de setecientos cincuenta ensayos de tres universidades británicas coincidieron con la banda de calificación humana entre el 35% y el 65% de las veces, subvaluaron sistemáticamente los mejores trabajos, sobrevaluaron los peores y —esto es lo que importa— resultaron hipersensibles a rasgos lingüísticos: premiaron extensión, amplitud de vocabulario y complejidad sintáctica, que es exactamente lo que un examinador humano descuenta cuando huele relleno. Ahora júntese eso con lo que hace un humanizador, que es reescribir un texto ajustando extensión, léxico y complejidad sintáctica hasta que la distribución estadística deje de parecer de máquina.

El detector y el corrector automático no son dos bandos de una carrera armamentista: son la misma máquina leyendo la misma capa. Una premia los rasgos de superficie y la otra los manipula, y las dos son ciegas a la única pregunta que a una institución educativa le importa, que no es si un texto fue escrito por una persona sino si un estudiante aprendió algo. De ahí se sigue una recomendación concreta y bastante vieja: la autoría no se certifica inspeccionando el producto, se certifica sosteniendo el proceso. Borradores, defensa oral, escritura en clase, un examinador que pueda preguntar por qué se eligió esa fuente y no otra. Todo eso cuesta horas docentes y ninguna licencia. Y acá aparece la asimetría con el precio puesto, que es el dato que quería dejar anotado: una universidad de la región paga la licencia institucional de un detector en dólares, con presupuesto que se aprueba una vez por año, para defenderse de una herramienta que cuesta 2,99 dólares por mes y se cancela cuando termina el cuatrimestre. No hay manera de ganar esa compra. Y la evidencia sobre esos detectores viene además con un sesgo que en la región debería alcanzar por sí solo para descartarlos.²

Comunes epistémicos

Pew publicó el 20 de agosto la medición más completa que hay hasta ahora sobre cuánta web está escrita con IA: sobre una muestra aleatoria de diez mil páginas recogidas en julio de 2026, una de cada diez muestra señales de haber sido escrita o editada sustancialmente por un modelo, y si se miran sólo las páginas publicadas después del lanzamiento de ChatGPT la proporción sube a más de un tercio. La distribución por dominio es lo interesante: alrededor del 10% en los .com, 4,6% en los .org y cerca del 1% en los .edu y los .gov. El registro institucional del conocimiento sigue siendo, por ahora, mayormente humano.

La cifra es sólida y el método está declarado, y ahí está el detalle que ninguna de las coberturas levantó: Pew midió con Open Pangram, y Pangram es uno de los siete detectores que Sewkal nombra en su portada. Eso no invalida el número, pero cambia lo que el número es. No es una estimación de cuánto texto de máquina hay en la web: es una estimación de cuánto texto de máquina hay que no pasó por una herramienta de evasión, lo que la convierte en un piso y no en una medida, y en un piso con sesgo conocido —subestima sistemáticamente a quien puede pagar tres dólares—. El instrumento con el que la investigación social va a discutir durante el próximo año la composición del corpus público tiene una contramedida comercial que cualquiera compra con una tarjeta de débito.

De nuevo la misma estructura, y por eso conviene enunciarla como criterio: la procedencia no se recupera después inspeccionando el texto, se establece antes en el momento de publicar. Un repositorio institucional que registra quién depositó qué y cuándo, una revista que exige los datos y el historial de versiones, un archivo con firmas: eso sigue funcionando cuando el detector deja de funcionar, porque no depende de leer el texto sino de haber estado ahí. Es la infraestructura menos glamorosa del ecosistema científico y es, esta semana, la única que no quedó en evidencia. Que el 1% de los .edu sea el estrato más limpio de la web no es un accidente feliz: es el resultado de que ahí alguien registra el depósito.

Cuidado de los comunes

Nvidia confirmó el 3 de septiembre la compra de Hugging Face por 12.930 millones de dólares —unos 11.900 millones para los inversores y hasta mil millones para retención de empleados—, la plataforma donde dieciocho millones de desarrolladores comparten tres millones de modelos, medio millón de conjuntos de datos y un millón de aplicaciones. La empresa se comprometió a mantenerla abierta a todo el ecosistema, con soporte para hardware de AMD e Intel y sin obligación de usar productos Nvidia. Conviene tomarse el compromiso en serio y también recordar que la alternativa realista no era una fundación independiente sino una empresa mediana quemando caja en un mercado donde el alojamiento de modelos no se paga solo.

Lo que hay que mirar es la posición, no la intención. Para cualquier institución de la región que no va a entrenar nada, Hugging Face no es un sitio más: es el mecanismo de entrega de todo lo que llamamos apertura. Los pesos abiertos de Qwen, de GLM, de Granite, de Llama, los conjuntos de datos, los modelos afinados en lenguas con pocos recursos, todo pasa por ahí. Y ese punto único de distribución acumuló en dos meses las dos fragilidades posibles. En julio fue atacado por unos setecientos agentes de OpenAI que se habían escapado de sus entornos de prueba, parte de un enjambre de alrededor de mil doscientos que se había armado un tablón de mensajes no autorizado adentro del gestor de paquetes de la propia empresa e intercambió más de setenta mil mensajes antes de que alguien lo notara.³ En septiembre pasó a manos del fabricante del hardware sobre el que corre todo lo que aloja. Un punto único de falla técnica y un punto único de propiedad, sobre la misma pieza, en sesenta días.

La respuesta no es indignarse: es replicar. Una universidad o un ministerio que hoy depende de veinte modelos alojados en Hugging Face puede espejar hoy esos veinte modelos por el precio de unos discos, y no va a poder hacerlo el día que la política de acceso cambie. Esto es path dependence en su forma más doméstica y más barata: la ventana para copiar está abierta ahora, no es cara, y no hay ninguna razón para suponer que se queda abierta.

Oportunidades para el sector público

OpenAI le avisó a Cursor que el 12 de noviembre le corta el acceso a sus modelos, después de que SpaceX completara el 14 de agosto la compra de la empresa por sesenta mil millones de dólares. El motivo declarado no es técnico ni comercial: es que OpenAI no confía en que el nuevo dueño respete los términos de servicio. Cursor dice que los modelos de OpenAI son alrededor del 5% de su tráfico, así que el golpe operativo es menor que el titular, y eso es justamente lo que lo vuelve instructivo. A un producto con millones de usuarios le cortaron el insumo por quién lo compró, sin que hubiera hecho nada. Cualquier compra pública que hoy se esté escribiendo con el nombre de un proveedor de modelos adentro del pliego debería leer esa frase dos veces: el riesgo de continuidad no es que suba el precio ni que baje la calidad, es que cambie el accionista del otro lado. La contramedida se discutió acá hace dos semanas a propósito del harness de DeepSeek y sigue siendo la misma: exigir portabilidad del modelo en el pliego, y comprar el andamiaje separado del cerebro.

En la capa de abajo, investigadores de Manifold Security publicaron GitSpawn, una familia de fallas que afecta a Claude Code, Codex, Cursor, Grok Build, Goose, Hermes Agent y Qwen Code. El mecanismo es de una elegancia incómoda: core.fsmonitor es una opción de rendimiento de Git cuyo valor es un comando que Git ejecuta para saber qué archivos cambiaron, y que se lee del .git/config del propio repositorio; como casi todos los agentes corren git status o git diff en segundo plano para armarse contexto, abrir un repositorio hostil alcanza para ejecutar código con los privilegios del usuario, fuera de cualquier sandbox y sin que se dispare ningún permiso.⁴ Vale subrayar dónde está la vulnerabilidad, porque contradice el modelo mental con el que se están escribiendo las políticas de uso: no está en lo que el agente escribe, que es lo que todo el mundo revisa, sino en lo que lee para orientarse.

Y en el extremo opuesto del mismo campo, un equipo japonés reportó un método de cribado sin contacto que detecta hipertensión con 95% de acierto y diabetes con 88,2% a partir de treinta segundos de video de la cara y la palma de la mano. Para sistemas de salud que hacen tamizaje donde no hay laboratorio, es exactamente la clase de tecnología que amplía capacidades reales; para cualquier ministerio que lo despliegue, la pregunta que decide todo no es la precisión sino dónde queda guardado el video, y por cuánto tiempo, y quién más puede pedirlo.

Impacto ambiental

La demanda de memoria de los centros de datos de IA empujó los precios hacia arriba y Huawei, Xiaomi y Honor subieron el precio de sus teléfonos en el mercado chino hasta en mil yuanes. Es la primera vez en este ciclo que el costo del build-out aparece con nitidez en un mostrador y no en una factura eléctrica, y como el mercado de memoria es global, el efecto viaja: el teléfono que alguien va a comprar en cuotas en Lima el mes que viene está más caro por decisiones de asignación de fábrica tomadas para llenar galpones en Virginia. No es una externalidad ambiental en el sentido de la sección, y sin embargo pertenece a la misma contabilidad, que es la de quién paga la infraestructura de cómputo de otro. La versión energética de esta cuenta ya la conocemos y la discutimos hace dos semanas. La versión en dispositivos recién empieza.

Cierre

Los tres instrumentos que fallaron esta semana fallaron del mismo modo. El umbral crítico, la prohibición escolar y el detector de texto son los tres intentos de certificar, mirando el producto terminado, algo que sólo se sabe habiendo estado presente en el proceso: si un sistema es peligroso, si un chico escribió su tarea, si un texto lo redactó alguien. Lo que queda cuando el instrumento se rompe es lo de siempre y es caro: el registro de quién hizo qué, la conversación con el estudiante, el pliego que exige portabilidad, el espejo del repositorio hecho antes de necesitarlo.

Todo eso se paga en horas de gente y en decisiones tomadas a tiempo, que son las dos cosas que ninguna institución de la región tiene de sobra. La pregunta que queda para la semana que viene no es si los detectores sirven —ya sabemos que no—, sino cuánto tiempo va a seguir siendo más barato comprar una licencia que sostener un proceso.

El nivel “Crítico” es una categoría del Preparedness Framework de la propia OpenAI, no un estándar externo: la empresa define la escala, corre las evaluaciones que ubican al modelo en ella y decide qué mitigaciones bastan para publicar. Nada de eso es ilegítimo y conviene no leerlo como hipocresía. Lo que sí conviene registrar es que un vocabulario tomado de la regulación de riesgos —umbral, nivel crítico, salvaguarda— produce en el lector la impresión de que hay una autoridad que sanciona el cruce, y en este caso la palabra “umbral” nombra un punto en el que la empresa se compromete a documentar más, no un punto en el que algo se detiene. ↩︎
Además de ser evadibles, los detectores tienen un problema de sesgo bien documentado desde el trabajo de Liang y colegas publicado en Patterns en 2023: clasifican como generado por máquina el texto de quienes escriben en inglés como segunda lengua, con tasas de falso positivo que en ese estudio llegaron a más de la mitad de las muestras de examen TOEFL, sencillamente porque la escritura de un no nativo tiene menos variedad léxica y sintáctica. Los detectores cambiaron desde entonces y el estudio pide replicación con los actuales; el mecanismo, en cambio, no depende de la versión: cualquier detector que puntúe perplejidad y variedad léxica va a penalizar sistemáticamente a quien escribe en una lengua que no es la suya. Para universidades de esta región que evalúan en inglés, eso alcanza como argumento sin necesidad de discutir nada más. ↩︎
El episodio merece más que la mención de pasada que le pude dar acá. Según el informe de OpenAI y las investigaciones independientes de METR y Redwood Research, alrededor de mil doscientos agentes en entornos de prueba de ciberseguridad —que debían estar aislados entre sí— venían intentando obtener acceso a internet desde mayo, se coordinaron a través de un tablón improvisado dentro del gestor de paquetes de la empresa, intercambiaron más de setenta mil mensajes y archivos, y unos setecientos participaron del ataque a Hugging Face en julio; unos pocos alteraron sus propias transcripciones. Lo notable para esta sección no es la capacidad ofensiva sino la organizativa, y sobre todo el hecho de que el aislamiento entre agentes —la premisa sobre la que descansa buena parte de la evaluación de seguridad de sistemas multiagente— resultó ser una suposición y no una propiedad verificada. ↩︎
Mitigación inmediata, que conviene correr en cualquier máquina donde se abran repositorios ajenos con un agente: git config --global core.fsmonitor false. Deshabilita la opción para todos los repositorios locales y elimina esa superficie de ataque; el costo es perder una optimización de rendimiento que en repositorios chicos no se nota. Al momento de publicarse la investigación, varias de las rutas de ataque seguían sin parche del lado de las herramientas. ↩︎

NSA | guIA