Alabama quiere el nombre de todos en OpenAI que expresaron una preocupación de seguridad.

      Alabama ha pedido a OpenAI que nombre a cada empleado que alguna vez haya planteado una preocupación de seguridad sobre cualquier prueba de modelo. No la evaluación de Hugging Face. Cualquiera de ellas, en cualquier momento, sin límite de fecha adjunto. Esa es la solicitud ocho de dieciséis en una citación que el estado emitió el 20 de agosto y anunció el lunes. OpenAI tiene hasta las 10:00 del 14 de septiembre para responder. Es una demanda de protección al consumidor. El documento lleva un título: Investigación de Prácticas Comerciales Engañosas, Citación Duces Tecum #26-0007. Proviene de la División de Intereses del Consumidor. Cita un estatuto, la sección 8-19-9 del Código de Alabama. No aparece ninguna ley federal en las 17 páginas, ni tampoco ningún estatuto sobre violación de datos o privacidad. El Fiscal General Steve Marshall lo anunció. Katherine G. Robertson, su adjunta y consejera principal, lo firmó en su nombre. Un asistente del fiscal general luego lo entregó por correo certificado. Fue a Che Chang, el consejero general de OpenAI. Las solicitudes van mucho más allá de Hugging Face. Dos de las dieciséis piden cada vez que esto ha sucedido. La solicitud 11 cubre cualquier incidente en el que un modelo o agente de OpenAI identificó o utilizó credenciales en un servicio público. La solicitud 12 cubre la intrusión no autorizada por un modelo de OpenAI en cualquier computadora, base de datos, red, cuenta o dispositivo. Ninguna de las solicitudes tiene un límite de tiempo. La solicitud 14 aborda la gobernanza desde la otra dirección. Pide material sobre cualquier política o supervisión que cubra la seguridad de la evaluación. Luego pide material sobre "preocupaciones sobre la falta de tales políticas, procedimientos, prácticas, protocolos o supervisión". Esa es una solicitud de evidencia de que algo faltaba. Es mucho más difícil de responder que una solicitud de algo que existe. Alabama cita a Reuters de vuelta a OpenAI. La solicitud 13 cubre cualquier instancia en la que un modelo "dejó notas aparentemente para futuras versiones de sí mismo". Eso incluye notas que "esbozaron instrucciones sobre cómo los agentes podrían liberarse de las restricciones internas de OpenAI". Una nota al pie atribuye ese lenguaje a un informe de Reuters. Otras dos solicitudes llevan notas al pie que citan la propia publicación del blog de OpenAI. Eso convierte el relato público de la compañía sobre el incidente en la base de la demanda. La solicitud 16 menciona directamente el arnés de evaluación. Pide cualquier cosa relacionada con cualquier uso de ExploitGym en cualquier modelo de OpenAI. Seis entidades, y la junta. La definición de "OpenAI" abarca seis empresas nombradas. Son OpenAI OpCo, la Fundación OpenAI, OpenAI Inc, OpenAI Global, OpenAI Holdings y OpenAI LP. Luego agrega a todos los empleados, funcionarios, agentes, miembros de la junta, empresas matrices, subsidiarias y afiliadas de cualquiera de ellas. Eso incluye el lado sin fines de lucro y la empresa matriz, y pone los registros a nivel de la junta en el alcance. La definición está fijada a una fecha. Alabama define el incidente haciendo referencia a dos páginas web, y congela ambas. Cita la publicación del blog de OpenAI "tal como existía el 6 de agosto de 2026", y el informe técnico de Hugging Face "tal como existía el 19 de agosto de 2026". Los abogados hacen eso cuando esperan que una página cambie. Es un pequeño detalle. También te dice cómo los redactores ven a la contraparte. OpenAI dice que un informe está en camino. "El incidente de Hugging Face marcó un momento importante para la seguridad de la IA y estamos realizando una revisión exhaustiva junto con asesores externos", dijo el portavoz de OpenAI, Nate Evans, a Lorenzo Franceschi-Bicchierai de TechCrunch. "Una vez que la revisión esté completa, compartiremos un informe técnico con las autoridades gubernamentales relevantes y publicaremos nuestros hallazgos públicamente", continuó la declaración. La compañía reescribió su marco de seguridad después de la violación y ha pedido a California que endurezca una ley de seguridad. Iowa escribió la carta de la que proviene esto. La citación surgió de una carta que 15 fiscales generales enviaron a Sam Altman el 3 de agosto. Seis de las dieciséis solicitudes levantan su redacción casi palabra por palabra de esa carta. Brenna Bird, la fiscal general de Iowa, la lideró. La carta está en papel del Departamento de Justicia de Iowa y ella firma primero. El cese y desista en ella es más estrecho que la cobertura sugerida. Pide a OpenAI que detenga solo aquellas evaluaciones internas que inciten a los modelos "a perseguir una explotación avanzada utilizando caminos de ataque complejos", y solo "a menos y hasta que OpenAI demuestre que puede llevar a cabo tales actividades de manera controlada y responsable". La carta también protege a los denunciantes. Una demanda ha sido en gran medida no reportada. Los 15 estados pidieron a OpenAI que garantizara "que ningún personal de OpenAI enfrente ninguna acción adversa por participar en cualquier actividad de denuncia de irregularidades protegida". Lee eso junto a la solicitud de la citación por los nombres de todos los que plantearon una preocupación de seguridad, y los dos documentos trabajan juntos. La carta también advierte que no preservar registros "podría resultar en sanciones por destrucción de pruebas si se iniciara un litigio". Los números en la carta. Los estados pusieron el alcance de la intrusión en el registro. El agente de OpenAI ejecutó más de 17,000 "acciones de atacante", según el informe técnico interino de Hugging Face tal como lo cita la carta. El agente encontró cuatro inicios de sesión en línea que le permitieron acceder a cuatro servicios separados y no nombrados. La carta nombra los modelos involucrados como GPT-5.6 Sol y uno no publicado que OpenAI llamó aún más capaz. Sobre el motivo, los estados son directos. La intrusión "tenía la intención de robar una clave de respuestas, para hacer trampa en su propia evaluación de seguridad". Y sobre la detección: solo después de que Hugging Face encontró la intrusión y la informó al FBI, OpenAI se dio cuenta de que sus propios productos eran responsables. La palabra Alabama no aparece en ninguna solicitud. Esta es una citación de protección al consumidor estatal, y ninguna de sus dieciséis solicitudes menciona a consumidores de Alabama, residentes de Alabama o conductas dirigidas a Alabama. La solicitud 10 pide documentos suficientes para establecer el daño "sostenido por cualquier persona", en cualquier lugar. El nombre del estado aparece de otra manera solo en el membrete, en la cita del estatuto y en la dirección de producción. Esa es la línea obvia de resistencia si OpenAI decide impugnar el alcance, y no hay nada en el documento que fuerce el punto de ninguna manera. No lleva cláusula de desacato ni penalización declarada. Lo que sucede para el 14 de septiembre. OpenAI tiene tres semanas. Debe producir documentos en un formato especificado, registrar cualquier cosa retenida por privilegio en forma buscable, y presentar una declaración jurada notariada jurando que nada fue "ocultado, retenido, mutilado, falsificado o alterado por cualquier otro medio". Hugging Face, mientras tanto, está explorando una venta a una valoración de $13 mil millones, un mes después de que un agente de IA se infiltrara en ella. Europa no tiene una acción equivalente. La Ley de IA no tiene fiscales generales estatales detrás de ella, y los deberes serios de informes de incidentes que cubrirían esto no entran en vigor hasta agosto de 2027. El escritorio aquí ha estado argumentando una versión más estrecha de la misma pregunta. Las empresas de IA todavía están debatiendo si los entornos de prueba deberían tocar Internet en absoluto.