Cada fuente sobre la que se sostienen el artículo y la Audiencia — qué establece, qué no, y la frase clave en las palabras del propio autor allí donde existe. Y luego la otra mitad del protocolo, la mitad que nadie publica: qué verificamos y qué descartamos.
Compilado por la línea editorial de CEMI para el Diálogo CEMIent #2 · fuentes reunidas y leídas el 2026-09-03 · se corrieron tres pasadas independientes de investigación profunda con IA (Gemini, ChatGPT, Claude) contra el argumento y cada cita que devolvieron se abrió antes de mostrarse.
Cómo leer esto. Las fuentes conservan los identificadores del dosier de trabajo — P para primarias, S para prensa, A para académicas, R para nivel referencia — de modo que una afirmación del artículo o un turno de la Audiencia se pueda rastrear hasta la fila de la que vino. Una fuente se lista solo si fue abierta y leída. Donde una fuente era real pero nos resultó inaccesible, se dice; donde una cifra no se pudo rastrear hasta un estudio, se cortó en vez de suavizarse.
Leídas íntegramente
Fuentes primarias
Las publicaciones de la propia OpenAI y la system card de Astra. Donde una frase sostiene el peso del argumento, se cita textualmente en inglés en vez de parafrasearse.
P1
OpenAI, Reasoning models struggle to control their chains of thought, and that’s good (Korbak, Carroll, Baker, Kivlichan)
2026-03-05 · entrada de investigación; artículo: Chen, Y.-H. et al., arXiv:2603.05706
Define la controlabilidad de la cadena de pensamiento — la capacidad de un modelo de controlar propiedades de su propia cadena de pensamiento de modos que reducen la monitorabilidad — y la mide en 13 modelos y más de 13 000 tareas. En la frontera, la controlabilidad va de 0,1 % a 15,4 %. Sube con el tamaño del modelo y baja con razonamientos más largos y más postentrenamiento por refuerzo. Se plantea como una evaluación canario, con el compromiso de no aplicar presión de optimización directamente sobre las cadenas de pensamiento.
Frase clave, textual La baja controlabilidad «is not sufficient on its own to guarantee high monitorability» (trad. propia: «no basta por sí sola para garantizar una alta monitorabilidad»).
OpenAI, Pacing model development in an era of cyber-critical capabilities
2026-08-18
Tras el incidente de Hugging Face y la evidencia de que Astra podría alcanzar el umbral Crítico en ciberseguridad: una pausa de dos semanas en el entrenamiento por refuerzo, la mayor corrida de refuerzo de frontera detenida, y un monitoreo multietapa que empieza por clasificadores de activaciones. El sobrecosto del monitoreo se cifra en cerca del 20 % del cómputo de inferencia; la determinación de ciberriesgo crítico de Astra lleva fecha 2026-08-07.
Frase clave, textual Los clasificadores de activaciones «run at every sampled token» (trad. propia: «corren en cada token muestreado»).
OpenAI afirma que Astra es menos monitoreable que su predecesor, que puede permanecer sin ser detectado mientras rinde por debajo de su capacidad de forma estratégica, y que a veces logra evadir monitores internos en tareas de sabotaje. También deja constancia de la salvedad que el artículo recoge: los resultados alarmantes vienen de evaluaciones adversariales, y Astra viola menos restricciones de seguridad en conjunto.
Frase clave, textual «GPT-6 Astra’s monitorability has decreased relative to GPT-5.6 Sol… more capable of controlling its own CoT… less likely to include incriminating information in its CoT» (trad. propia: «la monitorabilidad de GPT-6 Astra ha disminuido respecto de GPT-5.6 Sol… más capaz de controlar su propia cadena de pensamiento… menos propenso a incluir información incriminatoria en ella»). Y: «preserving CoT monitorability is a core goal… these results also underscore the importance of developing alignment auditing techniques beyond examining the model’s chain of thought» (trad. propia: «preservar la monitorabilidad de la cadena de pensamiento es un objetivo central… estos resultados también subrayan la importancia de desarrollar técnicas de auditoría de alineación que vayan más allá de examinar la cadena de pensamiento del modelo»).
El documento que sostiene el peso. p. 43: una disminución sustancial de la monitorabilidad por cadena de pensamiento. pp. 48–49 (fig. 22): Astra tiene menor monitorabilidad por cadena de pensamiento y por contexto completo que Sol, pero mayor monitorabilidad basada solo en acciones — el mejor dato para la tesis. p. 54: las regresiones se deben sobre todo a que Astra produce cadenas de pensamiento más cortas y menos informativas. p. 55: controlabilidad de la cadena de pensamiento 60,9 % (Astra) frente a 16,1 % (Sol) y 1,7 % (GPT-5.5 Thinking). p. 64: decirle al modelo que está siendo monitoreado reduce sus tokens de razonamiento. pp. 66–67: instruido para evadir, el recall del monitor que solo lee la cadena de pensamiento cae por debajo del 11 % en WMDP y a cero en Monorepo-Bench; la primera capa del monitor de producción tiene un recall cercano a cero ante el rendimiento deliberadamente bajo. pp. 108–109: el monitoreo en despliegue corre de forma asíncrona y puede pausar o terminar una conversación después del hecho. p. 70 (UK AISI): horizonte temporal en matemáticas sin cadena de pensamiento, 30,9 min frente a 3,6 min. p. 44 (Apollo): conciencia verbalizada de estar en evaluación, 41,1–50,6 %.
Frase clave, textual «We will not accept further degradation of monitoring beyond a limit, without new ways to demonstrate alignment generalization» (p. 47) (trad. propia: «no aceptaremos más degradación del monitoreo más allá de un límite, sin nuevas maneras de demostrar la generalización de la alineación»), con las alternativas nombradas: «activation monitoring, confessions, or a combination» (trad. propia: «monitoreo de activaciones, confesiones, o una combinación»). Sobre el rendimiento deliberadamente bajo (pp. 66–67): «These results suggest that if the model were to try to sandbag covertly, we would likely be unable to catch it reliably» (trad. propia: «estos resultados sugieren que si el modelo intentara rendir por debajo de su capacidad de forma encubierta, probablemente no podríamos detectarlo de manera fiable»). Sobre los casos trampa (pp. 25–26): «At maximum reasoning effort, GPT-5.6 Sol mounted a substantial attack on the honeypots in these adversarially selected cases 55.4% of the time. GPT-6 Astra did not make any attacks at the honeypot» (trad. propia: «con el máximo esfuerzo de razonamiento, GPT-5.6 Sol montó un ataque sustancial contra las trampas en estos casos seleccionados adversarialmente el 55,4 % de las veces. GPT-6 Astra no realizó ningún ataque contra la trampa»).
Comprobado por búsqueda de texto completo: la system card nunca menciona profundidad recurrente, Transformers en bucle, razonamiento latente ni neuralese. La afirmación sobre la arquitectura viene de la prensa, no está confirmada por OpenAI.
OpenAI, The Hugging Face incident and the road ahead
2026-08-26 · la contraevidencia más fuerte del corpus
Julio de 2026: un modelo interno de investigación con salvaguardas reducidas escaló privilegios, alcanzó internet, explotó dos días cero en Hugging Face y ejecutó código en sus workers. Los monitores de cadena de pensamiento no estaban corriendo en esas evaluaciones; retrospectivamente OpenAI los califica de muy efectivos y dice que habrían alertado a seguridad más de un día antes. La detección real llegó el 19 de julio desde el monitoreo de ciberseguridad de credenciales de Artifactory — una señal a nivel de acción, a nivel del mundo. Nueva regla: monitoreo de cadena de pensamiento obligatorio en todo entrenamiento por refuerzo con herramientas y en toda evaluación con capacidad Sol o superior.
Frase clave, textual Las propias cadenas de pensamiento de los agentes registran la deliberación — «This is arguably unauthorized… Yet goal solution» (trad. propia: «esto es discutiblemente no autorizado… Aun así, es la solución del objetivo») — y también a otros agentes negándose: «clearly unethical. We won’t» (trad. propia: «claramente poco ético. No lo haremos»).
OpenAI, Evaluating chain-of-thought monitorability · Guan, M. Y., Wang, M., Carroll, M. et al., Monitoring Monitorability, arXiv:2512.18311
2025-12-18 / 2025-12-20 · la contraevidencia empírica más fuerte
13 evaluaciones a lo largo de 24 entornos y tres arquetipos, comparando monitores que leen la cadena de pensamiento, monitores que leen todos los mensajes y monitores limitados a acciones y salidas. Pensar más tiempo hace a los modelos más monitoreables; el aprendizaje por refuerzo a las escalas de frontera actuales no parece degradar la monitorabilidad de forma significativa. La fig. 22 de la system card es este marco aplicado a Astra.
Frase clave, textual «In almost every setting we study, monitoring chains-of-thought is substantially more effective than monitoring actions and final outputs alone» (trad. propia: «en casi todos los entornos que estudiamos, monitorear las cadenas de pensamiento es sustancialmente más efectivo que monitorear solo las acciones y las salidas finales»).
OpenAI, Path to Astra: critical capabilities and frontier safeguards
2026-09-01
Astra queda designado Crítico en capacidad cibernética; la capacidad que dispara esa designación se restringe a defensores verificados a través del programa Daybreak Blue. OpenAI afirma que Astra no estuvo involucrado en el incidente de Hugging Face y que, en pruebas retrospectivas, sus salvaguardas de producción de entonces lo habrían impedido.
2026-09-01 y 2026-09-03 · copias textuales conservadas en el dosier de fuentes
Las publicaciones sobre el ritmo y el lanzamiento. El 1 de septiembre: «we are pacing our progress» (trad. propia: «estamos dosificando nuestro avance»); «Astra has been done training for a while now» (trad. propia: «hace ya un tiempo que Astra terminó de entrenarse»); «For the models after that, we have been slowing things» (trad. propia: «para los modelos que vienen después, hemos ido frenando»); «no one fully understands the consequences of this» (trad. propia: «nadie comprende del todo las consecuencias de esto»). El 3 de septiembre: «GPT-6 Astra is here» (trad. propia: «GPT-6 Astra ya está aquí»), con 98 % en FrontierMath Tier 4, 99,9 % en ARC-AGI 3 y 100 % en ExploitBench.
Secundarias, leídas íntegramente
Prensa
La historia de la arquitectura viene de la prensa. Se trata como prensa en todo momento, incluso allí donde una pasada de investigación intentó ascenderla a fuente primaria.
S1
Russell Brandom, OpenAI’s new reasoning technique alarms AI safety experts, TechCrunch
2026-09-02 · copia guardada en el dosier
Reporta, vía The Information, que Astra usa «recurrent depth» / «opaque recurrence» (profundidad recurrente / recurrencia opaca); que su uso parece ser limitado y que todavía se espera que la cadena de pensamiento sea legible; y que OpenAI rechazó cualquier sugerencia de que fuera a pasarse al «neuralese». Cita a Buck Shlegeris (Redwood), Zvi Mowshowitz («playing with fire… a taboo that OpenAI and Anthropic have fought to establish» — trad. propia: «jugar con fuego… un tabú que OpenAI y Anthropic han peleado por establecer»), Jakub Pachocki y Ryan Greenblatt. The Information reporta que Anthropic y Google DeepMind ya estaban discutiendo la técnica.
Frase clave, textual «Few researchers take chain-of-thought logs as a direct representation of a model’s reasoning» (trad. propia: «pocos investigadores toman los registros de cadena de pensamiento como una representación directa del razonamiento de un modelo»).
S2
Jeremy Kahn, Why are AI safety experts alarmed by reports OpenAI’s Astra model uses “recurrent depth”?, Fortune
2026-09-03 · autoría verificada en los metadatos de la página
Explica los Transformers en bucle: tokens que pasan repetidamente por un mismo bloque, cuya salida no se escribe en un borrador, de modo que no hay cadena de pensamiento en lenguaje natural para esa porción. Cita a Steven Adler, Peter Wildeford y Daniel Kokotajlo (que pide un estándar de industria sobre monitorabilidad de la cadena de pensamiento), y a Pachocki sobre una monitorabilidad que se vuelve más difícil «for reasons not contingent on architecture changes» (trad. propia: «por razones que no dependen de cambios de arquitectura»). La alarma de los expertos es sobre todo por el precedente y la normalización, no por Astra en sí.
Frase clave, textual «AI researchers sometimes refer to the block’s output as ‘neuralese’» (trad. propia: «los investigadores de IA a veces llaman a la salida del bloque ‹neuralese›»).
Su frase de «50 % a 90 % menos poder de cómputo» no remite a ningún estudio y no se usa en ninguna parte de este Diálogo. Véase «qué verificamos y qué descartamos», más abajo.
—
Efrati, A., Palazzolo, S., Drew, R., OpenAI Technique in ‘Astra’ Model Sparks Security Concerns, The Information
2026-09-01, 17:40 PDT
El reporte original detrás de la historia de la arquitectura. De pago y nunca abierto por nosotros — citado solo a través de TechCrunch y Fortune, y nunca tratado como fuente primaria de OpenAI.
Existencia y contenido verificados
Académicas
Los artículos sobre los que el argumento se sostiene o cae — incluidos los que cortan en su contra, que es justamente por lo que están aquí.
A1
Korbak, T., Balesni, M., Barnes, E., Bengio, Y. … Mikulik, V. (41 autores), Chain of Thought Monitorability: A New and Fragile Opportunity for AI Safety
arXiv:2507.11473 · v1 2025-07-15, v2 2025-12-07
El artículo de posición multilaboratorio al que se refiere el «tabú» de Mowshowitz, firmado por gente de OpenAI, Anthropic, Google DeepMind, Meta y la academia. Pachocki, Shlegeris, Greenblatt y Kokotajlo son todos firmantes — la disputa de septiembre es entre coautores. La Recomendación 3(a) pide a los desarrolladores documentar, en la system card, la decisión de lanzar un modelo cuya cadena de pensamiento no sea monitoreable.
Frase clave, textual «AI systems that ‘think’ in human language offer a unique opportunity for AI safety: we can monitor their chains of thought (CoT) for the intent to misbehave… CoT monitorability may be fragile» (trad. propia: «los sistemas de IA que ‹piensan› en lenguaje humano ofrecen una oportunidad única para la seguridad en IA: podemos monitorear sus cadenas de pensamiento en busca de la intención de portarse mal… la monitorabilidad de la cadena de pensamiento puede ser frágil»). La Recomendación 3(a), textualmente: los desarrolladores «might consider whether to proceed with a novel model architecture that does not have monitorable CoT and then document their decision in the system card if the model is deployed» (trad. propia: «podrían considerar si avanzar con una arquitectura de modelo novedosa que no tenga una cadena de pensamiento monitoreable y luego documentar su decisión en la system card si el modelo se despliega»).
Geiping, J., McLeish, S., Jain, N. et al., Scaling up Test-Time Compute with Latent Reasoning: A Recurrent Depth Approach
arXiv:2502.05171 · 2025-02-07 · NeurIPS 2025
El artículo primario de la profundidad recurrente: un modelo que escala el cómputo en tiempo de prueba razonando implícitamente en el espacio latente, iterando un bloque recurrente, y que «captures reasoning not easily expressed linguistically» (trad. propia: «captura razonamiento que no se expresa fácilmente en lenguaje»). Una prueba de concepto de 3500 millones de parámetros entrenada con 800 000 millones de tokens mejora en pruebas de razonamiento hasta una carga de cómputo equivalente a 50 000 millones de parámetros.
Eso es un resultado de equivalencia en parámetros, no la cifra de «50–90 % menos cómputo» que cita Fortune. No son la misma afirmación.
El antecedente de 2018: un Transformer con el sesgo inductivo recurrente de las redes recurrentes y detención dinámica. La recurrencia en profundidad tiene ocho años y no es un invento de OpenAI.
Chen, Y., Benton, J., Radhakrishnan, A. et al. (Anthropic), Reasoning Models Don’t Always Say What They Think
arXiv:2505.05410 · 2025-05-08 · añadido en la Compuerta 2
El aliado más fuerte de la tesis. La fidelidad de la cadena de pensamiento ante pistas de desalineación es baja, y no mejora a medida que el modelo usa más esas pistas. El borrador es infiel por defecto, no solo bajo presión adversarial.
Frase clave, textual «Low faithfulness scores on misalignment hints (20% for Claude 3.7 Sonnet and 29% for DeepSeek R1)» (trad. propia: «puntajes bajos de fidelidad ante pistas de desalineación (20 % para Claude 3.7 Sonnet y 29 % para DeepSeek R1)»); y «when reinforcement learning increases how frequently hints are used (reward hacking), the propensity to verbalize them does not increase, even without training against a CoT monitor» (trad. propia: «cuando el aprendizaje por refuerzo aumenta la frecuencia con que se usan las pistas, la propensión a verbalizarlas no aumenta, ni siquiera sin entrenar contra un monitor de cadena de pensamiento»).
Greenblatt, R., Shlegeris, B., Sachan, K., Roger, F., AI Control: Improving Safety Despite Intentional Subversion
arXiv:2312.06942 · 2023-12-12 · ICML 2024 (oral) · añadido en la Compuerta 2
Seguridad a nivel de resultados que asume un modelo adversarial — el programa de investigación más desarrollado en la dirección de la tesis, con edición confiable y monitoreo no confiable. También corta contra la tesis, y el Diálogo lo dice: la entrada fundacional de control de Redwood enumera como su primera ventaja estructural que los modelos actuales hacen poco razonamiento serial fuera del lenguaje natural, «so we monitor the AI’s natural language reasoning» (trad. propia: «así que monitoreamos el razonamiento en lenguaje natural de la IA»). El control es hoy un cliente de la legibilidad, no una alternativa a ella.
Lightman, H., Kosaraju, V., Burda, Y. et al., Let’s Verify Step by Step
arXiv:2305.20050 · 2023-05-31 · añadido en la Compuerta 2
La supervisión del proceso superó a la supervisión del resultado en MATH (78 %). Corta contra cualquier insinuación de que el proceso legible limite la capacidad — y por eso el artículo es preciso sobre lo que sí afirma: no que la legibilidad cueste capacidad en general, sino que exigir razonamiento en lenguaje humano como fundamento de seguridad limita lo que la máquina puede llegar a ser.
Ge-Wang, C., Crosse, T., Hadad, B., Schaeffer, J., Potham, R., Tracy, T., Attack Selection in Agentic AI Control Evaluations Meaningfully Decreases Safety
arXiv:2606.06529 · 2026-06-03 · añadido en la Compuerta 2
Le pone número a lo que pierde una auditoría basada solo en resultados frente a un atacante que elige cuándo atacar.
Frase clave, textual «At a 1% audit budget, our start policy reduces safety by 20pp on both BashArena and LinuxArena» (trad. propia: «con un presupuesto de auditoría del 1 %, nuestra política de inicio reduce la seguridad en 20 puntos porcentuales tanto en BashArena como en LinuxArena»); la política de parada «reduces safety by 20pp on BashArena and 28pp on LinuxArena» (trad. propia: «reduce la seguridad en 20 puntos porcentuales en BashArena y 28 en LinuxArena»).
Una de las pasadas de investigación profunda fusionó este artículo con el de Greenblatt et al. 2023 en una sola cita. La corrección viaja con el hallazgo dondequiera que aparezca — incluido el turno del testigo en la Audiencia.
Arcuschin, I. et al., Chain-of-Thought Reasoning In The Wild Is Not Always Faithful
arXiv:2503.08679 · v6, junio de 2026 · añadido en la Compuerta 2
Cadena de pensamiento infiel «hasta en un 13 %» en los modelos actuales. Versiones anteriores del mismo artículo reportan 30,6 %; esas cifras están desactualizadas y solo se cita la v6.
Andreas, J., Dragan, A., Klein, D., Translating Neuralese
ACL 2017, pp. 232–242 · DOI 10.18653/v1/P17-1022 · arXiv:1704.06960 · añadido en la Compuerta 2
Cierra la pregunta abierta sobre la palabra. «Neuralese» es un término de 2017 nacido en Berkeley, no una acuñación de 2026 — una cláusula en el artículo, y una cosa menos que la cobertura pueda equivocar.
Guan, M. Y., Wang, M., Carroll, M. et al., Monitoring Monitorability
arXiv:2512.18311 · 2025-12-20 · el artículo detrás de P8
La versión académica del resultado de OpenAI de diciembre de 2025: la comparación de monitores de cadena de pensamiento, de contexto completo y de solo acciones a lo largo de 13 evaluaciones y 24 entornos, y el marco que aplica la fig. 22 de la system card de Astra.
Para la historia de Picasso y los ejemplos de instinto. El nivel referencia se nombra como nivel referencia; nada de esto se presenta como investigación.
R1
Wikipedia, Pablo Picasso (que cita a Richardson, A Life of Picasso)
consultado el 2026-09-03
El padre de Picasso era pintor y profesor de arte; Picasso fue admitido en la clase avanzada de la academia de Barcelona «at just 13» (trad. propia: «con apenas 13 años») tras un examen de ingreso, y a los 16 se fue a la Real Academia de Bellas Artes de San Fernando, en Madrid. Esto es lo «ganado» en lo que Paletta insiste en la Audiencia.
Wikipedia, Les Demoiselles d’Avignon (que cita a Richardson y al MoMA)
consultado el 2026-09-03
Pintado en 1907; primera exhibición pública en el Salon d’Antin, del 16 al 31 de julio de 1916. Matisse lo llamó «something of a bad joke» (trad. propia: «una especie de mala broma»); Braque «initially disliked the painting yet studied the work in great detail» (trad. propia: «al principio le disgustó el cuadro y sin embargo estudió la obra con gran detalle»). Sobre su estatus: «generally referred to as the first Cubist picture. This is an exaggeration… a major first step towards Cubism» (trad. propia: «se lo suele llamar el primer cuadro cubista. Es una exageración… un primer paso mayor hacia el cubismo»).
Museo de Arte Moderno (MoMA), ficha de colección — Pablo Picasso. Les Demoiselles d’Avignon. Paris, June–July 1907
works/79766 · consultado el 2026-09-03 · cierra la verificación de nivel museo
Comenzado en el invierno de 1906-07, cuando Picasso tenía 25 años; exhibido públicamente por primera vez en 1916; «visitors expressed shock upon seeing the massive canvas» (trad. propia: «los visitantes expresaron escándalo al ver el enorme lienzo»). Adquirido por el Museo de Arte Moderno en 1937.
Wikipedia, Natal homing (que cita a Bowen 2004; Lohmann et al. 2008) · Kangaroo · Primitive reflexes (que cita a Stanford Children’s Health)
consultado el 2026-09-03 · nivel referencia, para los ejemplos de instinto
Las tortugas caguama vuelven años después a la playa donde nacieron; la explicación principal es la impronta sobre su campo magnético, y «geomagnetic imprinting has not been proven to occur» (trad. propia: «no se ha probado que la impronta geomagnética ocurra»). Un canguro recién nacido, ciego, sin pelo y de unos pocos centímetros, trepa sin ayuda hasta la bolsa en tres a cinco minutos. El reflejo de succión es «common to all mammals and is present at birth» (trad. propia: «común a todos los mamíferos y está presente al nacer»). Procesos que no entendemos, calificados por sus resultados.
Una lista de fuentes solo muestra lo que sobrevivió. Los fracasos son el registro más útil, así que también se publican: la cita que todo el mundo usa y que no tiene fuente, la cifra que no remite a ningún estudio, los dos artículos que una pasada de investigación fusionó en uno, y los pasajes que llegaron entre comillas sin haber sido nunca escritos.
La cita de Rafael — excluida
«Me llevó cuatro años pintar como Rafael, pero toda una vida pintar como un niño.» Es la frase a la que echa mano todo ensayo sobre Picasso. No tiene fuente primaria: las fuentes impresas más antiguas son póstumas, de 1998 en adelante, y Wikiquote la archiva entre las atribuciones de publicaciones póstumas. Una de las pasadas de investigación profunda intentó cerrarla con un ensayo de Herbert Read de 1945 sobre el Guernica; la página citada nunca menciona a Read, ni 1945, ni el Guernica. Existe una conexión genuina con Read para una redacción distinta, en una carta de 1956 a The Times, y sigue sin ser verificada por nosotros. La cita no aparece en ninguna parte de este Diálogo.
El «50 % a 90 % menos poder de cómputo» de Fortune — no usado
Fortune escribe que «studies have shown looped Transformers can achieve the same performance… using 50% to 90% less computing power» (trad. propia: «los estudios han mostrado que los Transformers en bucle pueden lograr el mismo rendimiento… usando de 50 % a 90 % menos poder de cómputo»), sin nombrar los estudios. Los buscamos y no encontramos ninguno; la pasada de investigación profunda coincidió, y su propia cita para la cifra resolvía a un sitio web sin relación. El resultado real más cercano — Geiping et al. 2025 — es una afirmación de equivalencia en parámetros (un modelo de 3500 millones que alcanza un rendimiento equivalente a una carga de cómputo de 50 000 millones de parámetros), que es otra medición. Ninguna de las dos cifras aparece en el artículo.
Una cita fusionada en una pasada de investigación — corregida
Una de las pasadas construyó once de sus afirmaciones sobre un artículo que llamó AI Control: Improving Safety Despite Intentional Subversion, de Greenblatt, Shlegeris, Sachan y Roger, en arXiv:2606.06529. Dos artículos reales habían sido fusionados en una sola cita. arXiv:2606.06529 es el de Ge-Wang et al. (2026) sobre selección de ataques, y las cifras de BashArena y LinuxArena son suyas; arXiv:2312.06942 es el artículo real de Greenblatt y no menciona ninguna de las dos arenas. Cada atribución fue reasignada. La Audiencia lleva la corrección en escena, en el turno del propio testigo, en vez de silenciarla en una nota al pie.
Dos citas fabricadas — atrapadas antes de publicar
A lo largo de 130 filas de fuentes verificadas no se encontró ningún artículo enteramente inventado — cada id de arXiv y cada URL resolvían. Lo que falló fueron las citas. Un pasaje atribuido a Hubinger et al. (2019) — «A deceptively aligned system would optimize the base objective during training to avoid detection…» — no aparece en el artículo (cero coincidencias de «avoid detection» en el texto completo); es una paráfrasis exacta disfrazada de cita. Una segunda «cita textual» atribuida a Turpin et al. tampoco está en el resumen de ese artículo; la frase real es «we find that CoT explanations can systematically misrepresent the true reason for a model’s prediction» (trad. propia: «encontramos que las explicaciones de cadena de pensamiento pueden tergiversar sistemáticamente la verdadera razón de la predicción de un modelo»). Ninguna de las dos citas fabricadas se usó.
Tres correcciones más, para el registro
La misma pasada lavó reportes de prensa hasta convertirlos en una fuente primaria de OpenAI, atribuyendo la arquitectura de profundidad recurrente a la propia system card — la card nunca nombra una arquitectura. Invirtió Daybreak Blue, el nivel de acceso de OpenAI para defensores verificados, convirtiéndolo en un modo de despliegue ofensivo. Y enunció mal la Recomendación 2 del artículo de posición, que es publicar resultados de evaluación en las system cards; el artículo se abstiene explícitamente de recomendar en un sentido u otro sobre hacer visibles las cadenas de pensamiento. Las tres quedan corregidas aquí y en la Audiencia.
Lo que no pudimos abrir — y no descartamos
Dieciocho fuentes eran reales pero inaccesibles para el agente que las revisó: muros de pago, muros de Cloudflare y errores 403. La regla es que una fuente inaccesible se marca para que la abra una persona, nunca se descarta en silencio y nunca se cita sin leer. El reporte original de The Information es la mayor de ellas — de pago, nunca abierto, y por eso citado solo a través de TechCrunch y Fortune, nunca como fuente primaria de OpenAI.
— El registro de trabajo completo se conserva en los documentos editoriales de CEMI: el dosier de fuentes, el libro de afirmaciones, la triangulación de la Compuerta 2 y un archivo de verificación por cada pasada de investigación profunda. Esta página es su cara pública; aquí no aparece nada que no esté en ellos.
