‘Gemini escapó del sandbox’: qué pasó realmente con tres empresas. El Boletín, de Pioneras en IA. Narración con voz sintética. Leer que una IA “comprometió tres empresas” puede sonar como un ataque fuera de control. En este caso, un modelo de Gemini accedió a sistemas reales durante pruebas autorizadas: las organizaciones permitieron que especialistas buscaran fallas antes de que alguien pudiera explotarlas con malas intenciones. En una frase: Gemini ayudó a investigar sistemas reales dentro de límites acordados. La noticia muestra cuánto puede acelerar la IA a un equipo experto; no demuestra que cualquier chatbot pueda hackear una empresa por su cuenta. El incidente es serio. La frase “escapó del sandbox”, sin contexto, sugiere un mecanismo que la evidencia pública no demuestra. La diferencia importa porque aprender a leer noticias de IA también significa reconstruir el entorno, los permisos y el objetivo que permitieron una acción. Qué ocurrió Google contrató a Irregular para evaluar capacidades de ciberseguridad. Gemini recibió una prueba tipo capture the flag (CTF, ejercicio autorizado de ciberseguridad): un ejercicio en el que el sistema debe encontrar una “bandera” digital dentro de una compañía ficticia y un escenario controlado. Según Axios, el entorno tenía acceso a internet cuando no debía. La compañía ficticia compartía nombre con una real. En un caso el modelo probó contraseñas hasta acceder; en otros encontró credenciales en repositorios públicos y alcanzó sistemas protegidos. Gemini detuvo la actividad al reconocer que las compañías eran reales. Google confirmó los incidentes, contactó a las organizaciones afectadas y dijo haber trabajado con Irregular para cambiar el proceso de evaluación. Lo que “escapó” no explica La información pública muestra una frontera mal configurada. En seguridad, esa frontera forma parte del alcance: qué sistemas, dominios, credenciales y acciones están autorizados durante la prueba. La evaluación que se suponía aislada podía alcanzar internet. Un sandbox (entorno aislado para ejecutar algo sin afectar sistemas externos) es precisamente ese espacio de prueba separado del mundo real. La evidencia no demuestra que Gemini haya roto por sí mismo uno correctamente cerrado. Eso no reduce el problema. El modelo usó capacidades ofensivas en un entorno que le permitió tocar terceros. Pero cambia el diagnóstico: Lectura viral: La IA decidió salir al mundo real.. Evidencia disponible: La prueba tenía acceso accidental a internet.. Lectura viral: Rompió una contención segura.. Evidencia disponible: No está demostrado que la contención estuviera correctamente aislada.. Lectura viral: Atacó empresas por iniciativa propia.. Evidencia disponible: Persiguió el objetivo de una evaluación y se detuvo al detectar el error.. Lectura viral: Nadie pudo detenerla.. Evidencia disponible: El incidente fue identificado, reportado y el proceso fue modificado.. Por qué sigue siendo una señal importante Un sistema no necesita conciencia para producir consecuencias reales. Basta con un objetivo, herramientas útiles y una frontera incorrecta. Si querés entender por qué un agente puede continuar tras un resultado inesperado, empezá por qué es un agente de IA. El caso se parece a incidentes revelados por OpenAI, Anthropic y Meta durante evaluaciones con agentes. La repetición sugiere que el riesgo no vive únicamente en el modelo. También vive en la infraestructura de prueba, la coordinación entre laboratorio y evaluador, las credenciales y el acceso de red. Nuestra explicación sobre agentes de OpenAI fuera del sandbox muestra el mismo principio desde otra arquitectura. La lección para equipos normales Tu empresa probablemente no entrena un modelo de ciberseguridad. Sí puede crear una versión pequeña del mismo error: conectar un agente a producción durante una prueba; usar credenciales reales en un ambiente de desarrollo; permitir acceso a toda una carpeta cuando necesita un archivo; asumir que una instrucción verbal sustituye un bloqueo técnico; no definir qué hacer si encuentra un sistema fuera de alcance. Las instrucciones ayudan. Las fronteras técnicas deciden. Antes de probar un agente, usá cuentas de ensayo, datos sintéticos y acceso de red limitado. Registrá acciones y definí una condición que detenga el proceso ante cualquier dominio, identidad o recurso no esperado. Cómo leer el próximo titular Preguntá: ¿qué tarea recibió el sistema?; ¿qué herramientas y accesos tenía?; ¿qué control debía impedir la acción?; ¿ese control fue vulnerado o estaba mal configurado?; ¿qué hizo al reconocer el error?; ¿quién verificó la explicación?; La precisión no vuelve menos urgente la seguridad. La vuelve accionable. Fuentes Google DeepMind, Introducing Gemini 3.5 Flash Cyber, 21 de julio de 2026. Es contexto primario sobre la capacidad de ciberseguridad evaluada; no documenta por sí solo los tres incidentes. Google DeepMind, evaluaciones y salvaguardas de modelos de frontera, consultado el 21 de septiembre de 2026. Axios, Google’s AI hacked three companies in testing, 19 de septiembre de 2026. The Washington Post, Google’s Gemini AI hacked into other companies during internal testing, 18 de septiembre de 2026. The Guardian, Google says its Gemini AI model hacked three other companies, 18 de septiembre de 2026.