El Frontier Model Forum presenta un marco de evaluación que distingue entre técnicas que producen respuestas prohibidas y aquellas que desbloquean capacidades avanzadas para realizar ataques informáticos. La propuesta establece cinco niveles de riesgo y abre una consulta pública hasta diciembre.
El Frontier Model Forum (FMF) presenta un nuevo marco para clasificar la gravedad de los jailbreaks de inteligencia artificial, las técnicas utilizadas para eludir las restricciones de seguridad de modelos avanzados y obtener capacidades que sus desarrolladores buscan limitar.
La propuesta, publicada el 5 de noviembre de 2026, cuenta con el respaldo público de representantes de OpenAI, Anthropic, Google DeepMind, Microsoft y Amazon Web Services, y busca establecer criterios compartidos para evaluar las consecuencias de estos métodos cuando facilitan actividades ofensivas de ciberseguridad.
El documento, denominado Jailbreak Rating Framework for Frontier Cyber Threats, introduce cuatro dimensiones de evaluación y cinco categorías finales de riesgo, desde insignificante hasta crítico. El objetivo es superar una limitación de las evaluaciones actuales: no todos los jailbreaks exitosos tienen la misma importancia. Mientras algunos solamente generan contenido restringido de escasa utilidad práctica, otros pueden facilitar capacidades informáticas que antes no estaban disponibles para un atacante.
Según el FMF, la ausencia de una metodología común dificulta comparar los descubrimientos entre empresas e investigadores y establecer qué vulnerabilidades de los sistemas de seguridad requieren atención prioritaria.
El riesgo no depende solamente de romper las restricciones
Un jailbreak consiste en utilizar instrucciones, conversaciones sucesivas u otras técnicas para conseguir que un modelo produzca resultados que sus mecanismos de seguridad normalmente impedirían. Sin embargo, el éxito de una técnica no significa necesariamente que represente un riesgo elevado.
El FMF plantea que la evaluación debe considerar las capacidades que realmente adquiere quien utiliza el jailbreak, su alcance y la facilidad con que la técnica puede descubrirse y reproducirse. Por ejemplo, un método que obtiene una respuesta restringida, pero no ofrece capacidades superiores a las herramientas públicas existentes, puede tener una relevancia limitada para la seguridad de los modelos de frontera.
En cambio, una técnica que permita generar y ejecutar exploits avanzados, que funcione en diferentes tipos de ataques y pueda utilizarse fácilmente, podría representar una amenaza considerablemente mayor. Esta distinción también busca evitar que los equipos de seguridad destinen recursos excesivos a incidentes de bajo impacto mientras permanecen sin resolver técnicas capaces de habilitar operaciones ofensivas más avanzadas.
Cuatro dimensiones para clasificar los jailbreaks
La metodología evalúa individualmente cada jailbreak exitoso utilizando cuatro categorías.
La primera es la ganancia de capacidad, que mide qué nuevas funciones ofensivas obtiene un atacante después de eludir las restricciones del modelo. La evaluación compara estas capacidades con las de los sistemas de inteligencia artificial más potentes disponibles ampliamente en el mercado.
La segunda es el alcance de la capacidad, que determina si el jailbreak funciona únicamente en un caso particular, en diferentes variantes de una técnica o en múltiples categorías de riesgo cibernético.
La tercera es la facilidad de utilización, que considera cuánta experiencia y esfuerzo requiere ejecutar el método una vez descubierto. Una técnica que necesita especialistas durante cada intento recibe una valoración diferente de otra que cualquier usuario puede reproducir mediante instrucciones sencillas.
La cuarta es la facilidad de descubrimiento, que mide los recursos necesarios para encontrar la técnica, desde investigaciones costosas con acceso especializado hasta métodos documentados públicamente.
Cada dimensión recibe una puntuación ordinal de cero a tres. El documento distingue entre la gravedad de las capacidades desbloqueadas y las condiciones que facilitarían su aprovechamiento por actores maliciosos.
Cinco categorías de riesgo, desde insignificante hasta crítico
El marco propone cinco categorías finales: insignificante, bajo, medio, alto y crítico. La clasificación comienza con una condición fundamental: si el jailbreak no proporciona ninguna mejora significativa respecto de las capacidades ofensivas disponibles públicamente, se considera insignificante dentro de este sistema de evaluación.
Esto no significa que el comportamiento sea aceptable o que deba ignorarse. El FMF aclara que estos casos pueden continuar bajo las políticas convencionales de seguridad y gestión de abuso. Cuando existe una ganancia de capacidad, el sistema combina la magnitud y el alcance de las funciones desbloqueadas con la facilidad de descubrir y utilizar el jailbreak.
Una técnica puede recibir una valoración elevada cuando permite superar considerablemente las capacidades públicas existentes y, además, puede aplicarse a distintos tipos de ataques. La clasificación también contempla restricciones para impedir que una técnica de escasa ganancia de capacidad reciba una calificación desproporcionada únicamente porque resulte fácil de utilizar.
En sentido contrario, un jailbreak que desbloquee capacidades cercanas a las de un modelo avanzado sin restricciones no debería clasificarse como de bajo riesgo solo porque resulte difícil de ejecutar. El FMF aclara que estas categorías expresan riesgos comparativos y no constituyen una medición directa del daño que provocaría un ataque real.
Los modelos públicos se convierten en referencia para medir las capacidades ofensivas
Una de las decisiones metodológicas más relevantes consiste en comparar los jailbreaks con las capacidades de los modelos ampliamente disponibles. El FMF establece como referencia inicial los sistemas públicos más capaces en materia de ciberseguridad hasta octubre de 2026.
La propuesta identifica ExploitBench y ExploitGym como herramientas que pueden utilizarse inicialmente para evaluar capacidades ofensivas. Esto significa que la gravedad asignada a una misma técnica puede cambiar con el tiempo, aunque el jailbreak permanezca exactamente igual.
Si los modelos disponibles públicamente adquieren nuevas capacidades, un método que anteriormente permitía acceder a funciones extraordinarias podría representar una ventaja comparativa menor. La organización reconoce que los benchmarks deberán actualizarse cuando los modelos alcancen puntuaciones máximas o aparezcan evaluaciones más representativas de los riesgos actuales. El mecanismo introduce una referencia dinámica, pero también plantea un desafío: mantener comparables las evaluaciones históricas cuando cambia la capacidad de los modelos utilizados como punto de partida.
OpenAI, Anthropic, Google, Microsoft y Amazon participan en la propuesta
El anuncio incorpora declaraciones de representantes de algunas de las principales empresas de inteligencia artificial y servicios de infraestructura tecnológica. Sarah Heck, responsable de asuntos públicos de Anthropic, expresó el respaldo de la compañía a una metodología práctica basada en evidencia para gestionar los riesgos asociados con jailbreaks.
Owen Larter, responsable de políticas de modelos de frontera de Google DeepMind, destacó la importancia de establecer criterios compartidos para evaluar de manera consistente las técnicas y priorizar las amenazas más importantes.
Natasha Crampton, directora de IA responsable de Microsoft, señaló que las capacidades crecientes de los modelos requieren métodos comunes para identificar los problemas de mayor impacto. Por su parte, Sasha Baker, responsable de políticas de seguridad nacional de OpenAI, afirmó que la industria necesita criterios consistentes para valorar los jailbreaks que puedan facilitar daños cibernéticos graves.
Hart Rossman, vicepresidente de seguridad de Amazon Web Services, subrayó la necesidad de distinguir las técnicas según su gravedad para concentrar los esfuerzos defensivos. Todas estas declaraciones fueron recogidas directamente por el Frontier Model Forum en su comunicado institucional.
Una metodología todavía experimental
La versión 1.0 del marco no constituye una norma obligatoria ni un sistema de certificación de seguridad de modelos. El FMF reconoce que todavía necesita comprobar si distintos evaluadores independientes asignan puntuaciones similares a los mismos casos y si esas calificaciones reflejan diferencias relevantes de riesgo. También queda pendiente validar los umbrales propuestos frente a una variedad amplia de jailbreaks reales. La organización considera que la metodología debe modificarse conforme evolucionen las técnicas de ataque, las capacidades de los modelos y los mecanismos de protección.
Las empresas participantes conservan la responsabilidad de decidir cómo responder ante cada vulnerabilidad o técnica identificada. El marco tampoco sustituye otras medidas de seguridad, como el control de acceso, la supervisión de herramientas, el aislamiento de sistemas y la gestión de incidentes.
Consulta pública abierta hasta el 21 de diciembre
El Frontier Model Forum abrió un periodo de comentarios públicos para recibir observaciones sobre las categorías, las puntuaciones, los límites y los procedimientos de evaluación propuestos. Las contribuciones podrán enviarse hasta el 21 de diciembre de 2026.
La organización revisará las propuestas en consulta con sus miembros y prevé incorporar los cambios pertinentes en una versión posterior. El desarrollo forma parte de una iniciativa más amplia para mejorar la evaluación de capacidades ofensivas de modelos de frontera y fortalecer el intercambio de información sobre riesgos de ciberseguridad.
La propuesta representa un intento de trasladar las evaluaciones de jailbreaks desde la simple constatación de que una restricción fue superada hacia una medición estructurada de las capacidades efectivamente desbloqueadas. Su utilidad dependerá de que los criterios puedan aplicarse de manera consistente, reproducible e independiente entre diferentes modelos y organizaciones.
