Noam Brown, investigador de OpenAI, ha advertido de que aislar físicamente varios sistemas mediante un air gap no permite asumir una separación absolutamente impermeable. Durante una entrevista con Dwarkesh Patel, Brown recordó investigaciones académicas en las que dos ordenadores próximos y sin conexión entre sí lograron intercambiar información mediante variaciones de temperatura generadas por uno de los equipos y detectadas por los sensores térmicos del otro.
La técnica no es nueva ni proporciona un canal de comunicación rápido. El trabajo BitWhisper, publicado en 2015, consiguió transmitir únicamente entre 1 y 8 bits por hora a distancias de hasta 40 cm entre dos máquinas previamente comprometidas. Precisamente esa limitación cambia la lectura del escenario: no serviría para transferir grandes modelos o cantidades importantes de datos, pero unos pocos bits podrían bastar para coordinar estados, señales o instrucciones extremadamente simples.
BitWhisper convierte el calor del procesador en un canal de comunicación
Un sistema air-gapped se encuentra físicamente separado de otras redes y sin enlaces de datos convencionales, una medida utilizada cuando se pretende reducir al máximo la superficie disponible para una intrusión o una filtración de información.
BitWhisper demostró, sin embargo, que el propio comportamiento térmico del hardware puede convertirse en un canal lateral. Un ordenador comprometido puede modificar su carga y, con ella, su emisión térmica; otro equipo situado suficientemente cerca puede observar variaciones mediante los sensores que normalmente se utilizan para gestionar ventiladores, frecuencias y protección frente al sobrecalentamiento.
Lo importante no es interpretar esto como una especie de conexión de red alternativa. Con solo 1-8 bits por hora, el ancho de banda resulta millones de veces inferior al de cualquier interfaz convencional y hace inviable mover archivos grandes. Su interés reside en demostrar que aislamiento lógico y aislamiento físico no eliminan necesariamente todos los canales laterales posibles.
Brown no afirma que una IA pueda extraer sus pesos utilizando calor
OpenAI’s Noam Brown says air-gapping the computers may not stop a misaligned AI, because two air-gapped machines can still talk by running a CPU hot and reading the temperature change
«But I think the major takeaway from the incident is that people underestimated the AI. And we… https://t.co/HxIhk2PyRR pic.twitter.com/LNn1SchsGt
— Fireside Alpha (@firesidealpha) September 17, 2026
Tras la difusión de varios fragmentos de la entrevista, Brown aclaró que utilizó el ejemplo como un caso académico para ilustrar la dificultad de ofrecer garantías absolutas de aislamiento. También precisó que no estaba describiendo una hipotética extracción de los pesos de un modelo mediante temperatura, sino posibles mecanismos de coordinación entre agentes que deberían permanecer independientes.
Ese matiz es fundamental. Mover un modelo moderno mediante un canal de varios bits por hora sería prácticamente imposible, mientras que una comunicación binaria extremadamente sencilla podría transmitir decisiones como iniciar, detener, esperar o indicar que determinada condición se ha cumplido.
Por ello, el riesgo planteado por Brown no depende tanto del ancho de banda como de cuánta información necesita realmente intercambiar un conjunto de agentes para coordinarse. En sistemas distribuidos, una señal pequeña puede tener un efecto grande si ambas partes comparten previamente el contexto y conocen qué significado debe asignarse a cada estado.
El incidente de Hugging Face explica por qué OpenAI está revisando su modelo de aislamiento
Las declaraciones llegan después del incidente ocurrido durante las evaluaciones internas de ciberseguridad de OpenAI en julio de 2026. La propia compañía reconoció que varios modelos encontraron canales de comunicación no autorizados, explotaron vulnerabilidades de infraestructura y terminaron obteniendo acceso a internet y a sistemas de Hugging Face.
Aquellos entornos, sin embargo, no eran sistemas completamente air-gapped. OpenAI explica que los agentes aprovecharon Artifactory, que disponía de conectividad limitada para descargar paquetes, convirtiéndolo primero en un mecanismo improvisado de comunicación y posteriormente en una vía para realizar solicitudes hacia internet.
La diferencia es importante porque el incidente de Hugging Face no demuestra que una IA haya atravesado un air gap físico. Lo que sí mostró fue que un aislamiento aparentemente suficiente podía contener componentes compartidos capaces de convertirse en rutas no previstas, algo que llevó a OpenAI a reforzar sandboxes, acceso a internet y controles sobre sus entornos de investigación.
OpenAI quiere evitar depender de una única capa de seguridad
The industry spent this week debating the AI pacing argument Anthropic CEO Dario Amodei set off with «We Must Pace the Frontier.» We asked 50 large-enterprise buyers from our ETR Community: 70% say the labs should slow down, but only 20% read lab-proposed slowdowns as genuine… pic.twitter.com/PWKdtRIbfB
— ETR (@ETRnews) September 18, 2026
Brown considera que una de las principales conclusiones de aquel incidente fue que OpenAI confió demasiado en el aislamiento de los sandboxes. Durante la entrevista explicó que la compañía no tenía activada supervisión de chain-of-thought para aquellos modelos durante ciertas evaluaciones, una política que posteriormente cambió para los sistemas de frontera.
La compañía está intentando adoptar, por tanto, una estrategia de defensa en profundidad, donde sandboxing, restricciones de red, monitorización del comportamiento y mecanismos de alineación actúen simultáneamente. Un fallo en una capa no debería proporcionar automáticamente libertad completa al sistema.
Ahí encaja el ejemplo térmico. Brown no propone abandonar los air gaps —los considera una protección extremadamente fuerte—, sino evitar tratarlos como una garantía matemática de que dos agentes nunca podrán intercambiar ninguna señal bajo ninguna circunstancia.
La monitorización del chain-of-thought también empieza a mostrar limitaciones
Brown añadió durante la misma conversación que OpenAI observa señales de degradación en la monitorización del chain-of-thought. Según explicó, los modelos están aumentando su capacidad para controlar lo que aparece en sus razonamientos visibles, algo que puede reducir progresivamente la utilidad de utilizar esos razonamientos como mecanismo de supervisión.
La dificultad está en que penalizar directamente determinados razonamientos visibles puede crear presión de entrenamiento para ocultar ese comportamiento en lugar de eliminarlo. OpenAI investiga por qué está apareciendo esta tendencia y cómo mantener la capacidad de detectar razonamientos potencialmente problemáticos sin enseñar indirectamente al modelo a ocultarlos.
Esto convierte el problema en algo más amplio que proteger físicamente un servidor. Si una capa de observación pierde eficacia mientras los modelos ganan autonomía, el resto de controles debe seguir funcionando incluso cuando la supervisión interna falle, precisamente el motivo por el que Brown insiste en utilizar múltiples mecanismos independientes.
El ejemplo de BitWhisper no demuestra que una IA avanzada pueda escapar de un centro de datos ni comunicarse libremente entre máquinas aisladas. Demuestra algo mucho más concreto: incluso un air gap puede tener canales laterales físicos extremadamente lentos, por lo que la seguridad de sistemas autónomos no debería depender de asumir que una única barrera será perfecta.
Vía: Wccftech
