GPT-Red de OpenAI: red teaming automático mediante self-play contra los ataques de prompt injection

OpenAI presentó en julio de 2026 GPT-Red, un sistema de red teaming automático en el que un modelo de lenguaje se ataca a sí mismo mediante self-play, encuentra vulnerabilidades y aprende a cerrarlas. Según la descripción del blog de OpenAI, los objetivos clave del proyecto son la seguridad, el alignment y la resistencia a la prompt injection.

Cómo funciona el self-play en GPT-Red

GPT-Red automatiza el red teaming: un rol del modelo genera consultas de ataque, otro aprende a reconocerlas y repelerlas, y el ciclo se repite sin intervención humana. El principio hereda el enfoque de AlphaGo, de DeepMind: en 2016 el programa se convirtió en el mejor jugador de go jugando contra sí mismo. Ahora esa misma mecánica de autojuego se aplica no a un juego de mesa, sino a la búsqueda de brechas en las defensas de los modelos de lenguaje.

«GPT-Red usa self-play para mejorar la seguridad de la IA, el alignment y la resistencia a la prompt injection», señala el anuncio de la publicación en el blog de

OpenAI.

El red teaming clásico depende de las personas: los expertos idean a mano escenarios provocadores, y en el mercado hay pocos especialistas de este tipo. El sistema automático elimina el límite de escala: el modelo genera y comprueba órdenes de magnitud más ataques que cualquier equipo humano, lo hace de forma continua y puede reiniciarse tras cada actualización de pesos.

Por qué importa para los agentes de IA

La prompt injection es un ataque en el que una instrucción maliciosa se esconde en datos externos (un correo, una página web o un documento) y el agente la ejecuta como si fuera una orden de su propietario. OpenAI sitúa la resistencia a la prompt injection entre los tres objetivos principales de GPT-Red, junto con la seguridad y el alignment, y así lo recoge expresamente el anuncio de la publicación.

Para los agentes de navegador y de correo, esta protección es crítica: un modelo que lee internet lee inevitablemente también las instrucciones de los atacantes. En la industria, la prompt injection se considera el principal problema sin resolver de la era de los agentes: cuanta más autonomía reciben los agentes con acceso al dinero, el correo y los archivos del usuario, más cara resulta cada ataque que se les cuela.

La automejora como estrategia de defensa

El título de la publicación de OpenAI, «Unlocking Self-Improvement for Robustness», apuesta abiertamente por la automejora: el modelo no solo se somete a una comprobación externa, sino que él mismo se hace más resistente. Esto cambia la asimetría habitual de la ciberseguridad, en la que al atacante le basta un intento exitoso mientras que el defensor tiene que cerrar todas las brechas a la vez: ahora un atacante automático trabaja del lado de la defensa y encuentra la vulnerabilidad antes que un malintencionado real.

Quedan muchas preguntas abiertas: en su breve descripción, OpenAI no ofrece métricas públicas sobre cuántas vulnerabilidades encuentra GPT-Red ni sobre cuánto cae la proporción de inyecciones exitosas tras el entrenamiento. El efecto práctico solo podrá juzgarse por la resistencia de las próximas versiones de los modelos de OpenAI.

Qué significa

La seguridad de los modelos de frontera pasa de ser una auditoría manual a convertirse en una cadena automatizada: los modelos empiezan a atacarse y repararse a sí mismos. Si el enfoque de GPT-Red escala, la resistencia a la prompt injection se convertirá en una característica medible de los modelos, igual que hoy lo son los resultados de los benchmarks de código o de matemáticas.

Preguntas frecuentes

¿Qué es el red teaming automático?

El red teaming consiste en atacar un sistema a propósito para encontrar vulnerabilidades antes de que lo hagan los atacantes. En GPT-Red, ese papel no lo desempeña un equipo de personas, sino el propio modelo: mediante self-play genera ataques contra sus propias defensas y aprende a resistirlos.

¿Qué es la prompt injection y por qué es peligrosa?

La prompt injection es una instrucción oculta en datos externos (un correo, una página, un archivo) que el modelo ejecuta por error como si fuera una orden del usuario. Para los agentes de IA con acceso al correo y al navegador, es el principal vector de ataque; precisamente la resistencia a estas inyecciones es, según OpenAI, uno de los tres objetivos de GPT-Red.