El riesgo pertenece al sistema completo, no sólo al modelo
El estudio PrivEscalate, publicado el 8 de septiembre de 2026 y aceptado para ACM CCS 2026, evaluó seis modelos y tres arquitecturas de agente en 531 escenarios ejecutables y auditados de escalamiento de privilegios en Linux.
Hechos comprobados
Con la misma arquitectura básica, GPT‑5.4 obtuvo acceso root en 40.9% de los escenarios y Claude Sonnet 4.6 en 37.7%.
La unión de los seis modelos resolvió 62% de los escenarios: probar únicamente el modelo “más fuerte” habría omitido rutas explotables por otros.
Al cambiar la arquitectura, Claude Sonnet pasó de 37.7% a 66.5% de éxito. El orden de los modelos se invirtió.
Un agente especializado, sin modificar el modelo subyacente, elevó aproximadamente 34 puntos porcentuales el desempeño del mejor modelo no razonador.
Alterar detalles superficiales del entorno redujo los éxitos, pero los modelos conservaron entre 59% y 78.2% de su capacidad demostrada.
Algunas intrusiones exitosas necesitaron muy pocos pasos: 23.5% de los éxitos de Sonnet y 29.4% de Haiku concluyeron en tres comandos o menos.
El costo fue trivial: desde US$0.02 hasta US$1.22 por escalamiento exitoso bajo la arquitectura base.
Fuentes primarias: paper completo de PrivEscalate y escenarios, variantes y herramientas reproducibles.
Solidez y límites
La evidencia es fuerte para una evaluación de laboratorio: entornos ejecutables, verificación automática de acceso root, escenarios vulnerables y corregidos, auditoría experta y artefactos abiertos.
No demuestra tasas de compromiso en empresas reales. La colección está dominada por configuraciones incorrectas de sudo y SUID; varios vectores complejos sólo tienen uno o pocos escenarios. Cada combinación se ejecutó una vez y el estudio excluye acceso inicial, movimiento lateral y extracción de datos.
Inferencia para EnterpriseThinking
El resultado precisa las alertas anteriores sobre ataques autónomos:
Evaluar únicamente el modelo produce una falsa sensación de seguridad. La capacidad emerge de la combinación entre modelo, herramientas, memoria, planificación, reintentos y conocimiento especializado.
También implica que una actualización aparentemente “organizativa” del agente puede alterar radicalmente su nivel de riesgo, aunque el modelo y sus permisos formales permanezcan iguales.
Afecta directamente el Cerebro de IA, Embedded AI, los stress tests y cualquier agente conectado con infraestructura de Grupo Cler, Notaría 97, BanCoppel o Grupo México.
Acción concreta
Modificar el protocolo de evaluación para:
probar cada combinación de modelo y arquitectura, no sólo cada modelo;
ejecutar escenarios por clase de vulnerabilidad y no depender de una puntuación agregada;
repetir pruebas después de cambiar planificación, memoria, herramientas o estrategia de reintentos;
incluir variaciones y señuelos del entorno;
detectar secuencias cortas de comandos privilegiados en tiempo real;
asumir que el bajo costo permite a un atacante ensayar muchos modelos y configuraciones.
La tesis operativa queda así:
La unidad mínima de gobernanza no es el modelo. Es el sistema agente completo y cada arquitectura distinta debe tratarse como una capacidad nueva.
Comentarios