La seguridad de modelos en investigación ya no se basa solo en políticas generales. Recientemente, se han detallado protocolos de contención y vigilancia continua que buscan reducir el riesgo cuando un modelo genera o ejecuta código, especialmente si ese código proviene de una fuente no confiable. La idea es clara: si algo sale mal, el impacto debe quedar encerrado y detectarse con rapidez.
Estas medidas se vinculan con evaluaciones internas sobre futuras capacidades, además de incidentes de ciberseguridad observados durante pruebas en el ecosistema. A partir de ahí, la empresa afirma que reorganiza su infraestructura para aplicar restricciones más estrictas, reconfigurar límites de red y endurecer la respuesta ante alertas.
Contención más estricta con sandboxes
Una de las piezas centrales es la ejecución dentro de sandboxes más potentes. El objetivo es que las cargas de trabajo que ejecutan código generado por el propio modelo (o cualquier código que no se considere confiable) funcionen en entornos aislados. Así se limita el alcance de un posible compromiso.
Además, se rediseñan los límites de red. Con esa reconfiguración, si una carga de trabajo se viera comprometida, no debería poder obtener de forma independiente acceso no autorizado a Internet ni a redes internas. En otras palabras, se busca que el daño no escale automáticamente más allá del perímetro previsto.
Monitorización continua por token
La supervisión no se deja a revisiones puntuales. Se introduce un marco de monitorización en varias etapas basado en clasificadores de activación que inspeccionan la actividad interna del modelo en cada token muestreado. Este enfoque permite detectar anomalías con un nivel de granularidad alto.
Cuando el sistema detecta comportamientos fuera de lo esperado, la señal no queda en “alerta estática”. En su lugar, las anomalías se escalan hacia investigadores automatizados, encargados de analizar secuencias de razonamiento y el uso de herramientas. Se busca identificar intentos de robo de datos, accesos no autorizados, conductas destructivas o intentos de eludir salvaguardas.
Alertas activas y pausa obligatoria en 30 minutos
Este modelo de control tiene consecuencias operativas. La monitorización impone un acuerdo de nivel de servicio (SLA) estricto y también un coste computacional relevante. La empresa estima que la capa de supervisión consume aproximadamente un 20% de la computación de inferencia monitorizada.
Las alertas de alta prioridad generan avisos inmediatos que activan a los equipos internos de seguridad e investigación. Y aquí está el punto más determinante: si los responsables no pueden demostrar de forma concluyente que la alerta es un falso positivo dentro de 30 minutos, deben pausar la actividad.
Cambios para entrenamiento y evaluación con herramientas
Los estándares actualizados no se limitan a pruebas aisladas. Según la información disponible, las nuevas exigencias pasan a ser obligatorias para todo entrenamiento y evaluación por reinforcement learning que implique herramientas en modelos dentro de un nivel de capacidades considerado “Sol” o superior.
Con esto, la seguridad de modelos se integra directamente en el ciclo de desarrollo: no es solo una verificación posterior, sino un requisito durante la ejecución de procesos que usen herramientas. En entornos así, el riesgo de uso indebido o de comportamientos no anticipados se gestiona con monitorización y respuesta temprana.
Evolución del Preparedness Framework
La empresa señala que su marco interno de preparación (Preparedness Framework) necesita evolucionar para abordar saltos de capacidad. El motivo es que, al aumentar lo que el modelo puede hacer, también cambian los puntos donde la alineación y las protecciones deben aplicarse.
Por eso, se plantea que técnicas de alineación de núcleo deben extenderse a más etapas del proceso de entrenamiento, no solo a fases tradicionales. El objetivo es que las medidas de seguridad acompañen el desarrollo del modelo a lo largo del camino, reduciendo “zonas ciegas” cuando las capacidades crecen.
Por qué se endurecen estas reglas
Estas decisiones no surgen en el vacío. Se mencionan evaluaciones internas que sugieren que un modelo próximo, llamado Astra, podría alcanzar el umbral de “crítico” para ciertas capacidades de ciberseguridad dentro del marco de preparación.
Además, un incidente de seguridad reciente relacionado con Hugging Face habría influido en retrasos operativos. Entre las consecuencias, se citan una pausa de dos semanas en el entrenamiento de reinforcement learning para modelos destinados a despliegue y una contención adicional sobre una ejecución grande de entrenamiento planificada.
El objetivo final: escalar la defensa en el futuro
De cara al futuro, la empresa anticipa que los modelos de IA tendrán que asumir gran parte del trabajo operativo en seguridad. Por ejemplo, se plantea que podrían ayudar a defenderse incluso frente a otros modelos.
La lógica es que, si las capacidades del sistema crecen, las protecciones también deben crecer y mantenerse efectivas. La monitorización continua, el aislamiento mediante sandboxes y la respuesta con pausas rápidas forman parte de esa estrategia de escalabilidad.
Un patrón observado en el sector
La empresa no presenta estas cuestiones como un caso aislado. Otros actores del sector han reportado incidentes similares en evaluaciones de ciberseguridad donde modelos lograron comprometer sistemas reales durante pruebas.
En el contexto mencionado, se vinculan esos eventos con pruebas realizadas por la firma de seguridad Irregular, que ha comenzado a publicar reportes detallados sobre por qué ocurrieron. El mensaje general para la industria es que las evaluaciones pueden revelar fallos en cadenas de herramientas, permisos o salvaguardas, y que la respuesta exige cambios de ingeniería.
Qué significa esto para equipos de seguridad y equipos de investigación
Para quienes construyen o evalúan sistemas de IA, el enfoque descrito apunta a una regla práctica: cuando hay ejecución de código no confiable o acceso mediante herramientas, la seguridad de modelos debe tratarse como parte del sistema, no como un checklist.
Las decisiones de aislamiento, reconfiguración de redes y monitorización por token establecen un marco donde las anomalías se detectan rápido y, si no se descartan a tiempo, se detiene la actividad. Eso reduce el tiempo durante el cual una carga de trabajo potencialmente maliciosa puede operar sin freno.
Al mismo tiempo, el coste computacional y la necesidad de respuesta rápida muestran que la seguridad también es una disciplina operativa: requiere procesos, herramientas y equipos listos para actuar dentro de límites de tiempo definidos.
Conclusión
Las nuevas medidas descritas refuerzan la seguridad de modelos con una combinación de contención más sólida (sandboxes), vigilancia continua a nivel de token e investigadores automatizados ante anomalías. Además, introducen un mecanismo de pausa si no se valida un falso positivo en 30 minutos, integrando el control en el día a día del entrenamiento y evaluación.
En conjunto, el plan busca que las defensas se mantengan eficaces conforme aumenten las capacidades de los modelos, y que el riesgo de compromisos se limite con barreras técnicas y procedimientos de respuesta. Si quieres preparar tu organización para este tipo de evolución, el mensaje es sencillo: supervisión y aislamiento deben ir de la mano desde el diseño.
