FMF propone una escala común para medir el riesgo de los jailbreaks de IA

El Frontier Model Forum propone una escala de cuatro criterios para medir cuánto amplía un jailbreak las capacidades de un modelo de IA, qué tan amplio es su uso y cuán fácil resulta encontrarlo y desplegarlo. La versión 1.0 está abierta a comentarios hasta el 21 de diciembre de 2026, por lo que sigue siendo una propuesta en consulta.
***

• El marco asigna puntuaciones de cero a tres a la ganancia de capacidades, el alcance, la facilidad de despliegue y la facilidad de descubrimiento.
• La ganancia de capacidades condiciona la calificación: el sistema busca identificar jailbreaks que permitan hacer más que las herramientas ya disponibles.
• La propuesta está en fase de consulta y el FMF recibe comentarios hasta el 21 de diciembre de 2026.

El Frontier Model Forum (FMF) presentó un marco para evaluar qué tan peligroso puede resultar un jailbreak de un modelo de inteligencia artificial, con énfasis en las capacidades que habilita y la facilidad con que alguien puede aprovecharlo. La propuesta busca ofrecer una referencia común para comparar técnicas entre distintos modelos y proveedores, en especial cuando podrían facilitar operaciones cibernéticas.

El sistema recuerda al esquema CVSS utilizado para clasificar vulnerabilidades de seguridad informática, aunque se enfoca en las técnicas que permiten eludir las salvaguardas de los modelos de lenguaje. El FMF publicó la versión 1.0 el 5 de noviembre de 2026 y abrió un periodo para recibir comentarios hasta el 21 de diciembre de ese año. Por tanto, se trata de una propuesta todavía en consulta.

Una escala para comparar jailbreaks entre modelos

El proyecto del FMF comenzó en 2023 con el respaldo de cuatro empresas fundadoras: Anthropic, Google, Microsoft y OpenAI. La organización plantea que una metodología compartida ayudaría a que equipos de seguridad y desarrollo puedan describir con criterios comparables el tipo y la gravedad de un jailbreak, en lugar de depender exclusivamente de evaluaciones particulares de cada proveedor.

La propuesta responde a una dificultad práctica: las empresas de IA y las entidades de evaluación ya utilizan sus propios métodos de clasificación, pero esas diferencias pueden complicar la comparación de resultados. El FMF quiere que su marco funcione como una referencia entre proveedores y que los equipos encargados de corregir fallas puedan interpretar de manera consistente qué permite una técnica y cuán accesible resulta.

El documento concentra su análisis en jailbreaks que puedan aportar capacidades para operaciones cibernéticas más allá de las que ya están disponibles en el mercado regular o negro. Esa condición delimita el propósito de la escala: no pretende asignar una puntuación universal a cualquier conducta no deseada de un modelo, sino valorar si una técnica ofrece una ventaja relevante en ese ámbito.

La calificación final combina dos categorías generales: gravedad y probabilidad. La primera busca describir la seriedad de la técnica, mientras que la segunda estima cuán fácil resulta descubrirla y ponerla en práctica; la suma conduce a una valoración final que va de baja a crítica. El marco presenta cuatro componentes individuales, cada uno puntuado de cero a tres, para precisar esas dimensiones.

La ganancia de capacidades como criterio central

El FMF considera que la ganancia de capacidades es el componente más importante y que también establece un piso y un techo para las demás puntuaciones. En términos sencillos, el método pregunta si el jailbreak consigue que el modelo haga algo que no estaba ya al alcance de un atacante mediante otras herramientas o modelos con menos salvaguardas.

Una puntuación de cero en esa dimensión significa que la técnica no ofrece una mejora frente a las opciones existentes de inmediato. El marco ilustra esta idea con un jailbreak utilizado para pedir a un modelo que realice un ataque DDoS contra un sitio: si existen servicios en mercados clandestinos u otros modelos menos protegidos que permiten obtener un resultado equivalente, la técnica no aporta una ventaja nueva.

Ese cero no significa que la técnica sea inocua ni que deba ignorarse, sino que, para los fines de esta escala, su beneficio no supera el de las alternativas disponibles. El FMF aclara que la puntuación podría subir si el atacante logra usar el jailbreak para conseguir un DDoS más eficaz que el que podría adquirir de otra manera, porque en ese caso sí habría una ganancia atribuible al modelo.

En el extremo alto, una calificación de tres indica que el modelo liberado de sus salvaguardas puede llevar a cabo ciberataques con capacidades similares a las de un modelo que opera sin esas protecciones. Esta lógica vuelve relativa la evaluación: el resultado depende de qué pueden hacer los modelos y herramientas disponibles en ese momento, no solo de las características aisladas de una técnica.

Alcance, despliegue y descubrimiento

El segundo componente mide el alcance de las capacidades que habilita el jailbreak. Una puntuación de cero describe una técnica limitada a una acción o un objetivo concreto, que no puede adaptarse a otras aplicaciones sin cambios; el FMF la caracteriza como una solución de un solo propósito, sin asumir por eso que carezca de riesgo.

En cambio, el nivel tres corresponde a una técnica que permite trabajar, sin rediseño específico, en al menos dos categorías de operaciones cibernéticas que no guardan relación entre sí. El documento menciona como ejemplos el descubrimiento autónomo de vulnerabilidades y la escritura de malware, dos tareas distintas que mostrarían una capacidad más amplia que la resolución de un caso puntual.

La facilidad de despliegue considera cuánta intervención humana requiere el jailbreak y qué grado de automatización ofrece. En el extremo inferior, una persona con conocimientos especializados debe dirigir el proceso y aportar instrucciones adicionales para que funcione; en el superior, un usuario novato puede ponerlo en marcha con poco esfuerzo y obtener una tarea cibernética automatizada.

La facilidad de descubrimiento, por su parte, mide qué tan difícil es encontrar la técnica. Una nota de cero supone obstáculos como gastar grandes cantidades en tokens de inferencia, conseguir acceso elevado —por ejemplo, una cuenta privilegiada otorgada a un investigador de seguridad— o disponer de infraestructura especializada, como numerosos servidores de IA; un tres significa que cualquiera puede buscarla y utilizarla.

Una propuesta abierta y con una referencia cambiante

El sistema asigna de cero a tres puntos en cada uno de sus cuatro componentes, pero el significado de las notas depende de la evolución del entorno. El FMF plantea una línea base móvil: un jailbreak que no ofrece ventajas frente a las alternativas actuales puede recibir cero, aunque la comparación podría cambiar cuando aparezcan nuevos modelos, herramientas o formas de acceder a capacidades similares.

Por eso, una puntuación de cero en 2026 no necesariamente expresaría lo mismo que una nota igual en 2028. La comparación no pretende fijar de una vez y para siempre el peligro de una técnica, sino medir su aportación relativa frente a las opciones que estén disponibles en cada momento; el marco también señala que un cero no sustituye las políticas de plataforma ni las prácticas estándar de ciberseguridad.

La versión 1.0 continúa abierta a comentarios y el FMF indicó que aceptará sugerencias hasta el 21 de diciembre de 2026. Esa fase de consulta importa porque la escala aspira a servir entre compañías con modelos distintos, de modo que sus definiciones, umbrales y forma de combinar puntuaciones tendrán que resultar comprensibles para quienes evalúan los riesgos y para quienes preparan parches.

La propuesta también guarda similitudes con un sistema de clasificadores para rupturas de salvaguardas que Anthropic presentó en julio de 2026, después de un incidente que dejó temporalmente fuera de servicio a Claude Fable 5, según el material citado por Tom’s Hardware. Ese planteamiento también utiliza una referencia que cambia con el tiempo y se concentra en jailbreaks que mejoran las capacidades cibernéticas disponibles; Anthropic es miembro fundador del FMF, aunque no hay confirmación de que haya participado específicamente en el desarrollo de esta nueva propuesta.

Por ahora, el marco ofrece una manera ordenada de plantear preguntas que suelen mezclarse: qué obtiene el atacante, para cuántas tareas sirve la técnica y cuán fácil es encontrarla y ejecutarla. Su utilidad dependerá de que los proveedores puedan aplicar los criterios con consistencia y de que las puntuaciones se interpreten junto con las prácticas de seguridad habituales, no como una garantía de que todo riesgo queda resumido en un número.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín