OpenAI lleva ChatGPT a la web y los servicios con plugins

El 23 de marzo de 2023, OpenAI presentó los plugins de ChatGPT; conectar un modelo a datos y acciones permite enseñar una regla duradera: cada herramienta amplía utilidad y superficie de riesgo a la vez.

OpenAI ha presentado hoy los plugins de ChatGPT, una vía para que el asistente deje de depender únicamente de los datos con los que fue entrenado y pueda usar herramientas externas. La novedad permite buscar información reciente en la web, ejecutar código y consultar servicios de terceros desde una conversación.

El acceso comenzará de forma limitada para usuarios de ChatGPT Plus y desarrolladores apuntados a una lista de espera. No es todavía una función generalizada, pero marca un cambio relevante: ChatGPT pasa de responder texto a poder pedir datos y actuar a través de aplicaciones conectadas.

Tres herramientas para ampliar ChatGPT

OpenAI estrena dos plugins propios. El primero permite navegar por internet mediante la API de búsqueda de Bing. Hasta ahora, ChatGPT tenía una fecha de corte en sus conocimientos y no podía comprobar qué había ocurrido recientemente. Con esta herramienta puede lanzar búsquedas, abrir resultados y citar las páginas empleadas en su respuesta.

La función tiene límites deliberados. El navegador realiza peticiones de lectura —no puede rellenar formularios ni ejecutar acciones equivalentes a una compra— y respeta las restricciones de los sitios web expresadas en sus archivos robots.txt. Aun así, acceder a la web abre un problema conocido: una página puede contener instrucciones diseñadas para confundir al modelo o alterar su comportamiento. Es lo que se conoce como prompt injection, una forma de manipulación mediante texto dirigido a la IA.

El segundo plugin es un intérprete de código. Da a ChatGPT acceso a un entorno aislado donde puede escribir y ejecutar Python, un lenguaje de programación muy usado en análisis de datos. El usuario puede subir archivos y pedir, por ejemplo, que el sistema limpie una hoja de cálculo, genere un gráfico o convierta formatos. Para muchas tareas de oficina, esta capacidad resulta más importante que una respuesta redactada con soltura: permite comprobar cálculos y trabajar sobre datos concretos.

De responder preguntas a usar servicios

La parte más ambiciosa del anuncio son los plugins desarrollados por empresas externas. En esta primera prueba participan, entre otras, Expedia y KAYAK para viajes; OpenTable para restaurantes; Instacart para compras; Klarna para productos; FiscalNote para información legal y política; Speak para aprendizaje de idiomas; Wolfram para cálculos y conocimiento científico; y Zapier para conectar miles de aplicaciones empresariales.

La idea es sencilla: en lugar de abrir varias webs, el usuario podría describir una necesidad en lenguaje corriente y dejar que ChatGPT consulte el servicio adecuado. Pedir opciones de vuelo, buscar una mesa disponible o analizar datos de una empresa son ejemplos inmediatos. El resultado dependerá, sin embargo, de que cada servicio ofrezca datos fiables, de que el modelo formule bien las consultas y de que el usuario revise la respuesta antes de tomar una decisión.

OpenAI también publica un plugin de recuperación de información, o retrieval, para que desarrolladores conecten ChatGPT a sus propios documentos y bases de conocimiento. Es una alternativa práctica para compañías que quieran preguntar a la IA sobre manuales internos, contratos o documentación técnica sin tener que reentrenar un modelo desde cero.

El comienzo de los asistentes conectados

Los modelos de lenguaje han destacado por redactar, resumir y conversar, pero su utilidad se reduce cuando necesitan información actualizada o acceso a sistemas reales. Los plugins atacan precisamente esa limitación. También cambian la naturaleza del riesgo: un error en un texto puede ser molesto; un error al recomendar un producto, interpretar una norma o transmitir datos a un servicio externo puede tener consecuencias más concretas.

Por eso OpenAI ha optado por un despliegue pequeño y gradual. La empresa afirma haber realizado pruebas de seguridad y reconoce que estas herramientas pueden introducir nuevas formas de uso indebido. La cautela es razonable: conectar un modelo que puede equivocarse a la web y a plataformas comerciales exige controles técnicos, permisos claros y supervisión humana.

La prueba mostrará si ChatGPT puede convertirse en una interfaz útil para servicios digitales o si la complejidad de integrar datos, instrucciones y acciones obliga a mantener estas funciones en casos muy acotados. De momento, OpenAI ha abierto una carrera para que los asistentes conversacionales no solo hablen sobre el mundo, sino que puedan consultar herramientas que operan en él.

Leer, calcular y actuar son niveles de riesgo distintos

Un navegador puede traer texto no confiable; un intérprete ejecuta código en un entorno; un plugin comercial consulta o modifica un servicio. La etiqueta común “herramienta” no basta. Para cada integración se documentan entradas, salidas, permisos y efectos. Leer una página puede filtrar contexto mediante una instrucción maliciosa; comprar o reservar añade consecuencias económicas.

La presentación de OpenAI describía una implantación gradual y reconocía nuevos riesgos. El modelo recibe una descripción del plugin y decide cuándo llamarlo, pero esa decisión probabilística no sustituye una política. Las acciones sensibles necesitan confirmación con parámetros visibles: artículo, cantidad, precio, destinatario y cuenta.

Prompt injection aparece cuando contenido externo intenta comportarse como instrucción. La defensa no consiste solo en decirle al modelo que ignore ataques. Hay que separar datos e instrucciones, limitar qué herramienta puede llamarse, validar argumentos y bloquear la salida de secretos. El principio es el mismo que en seguridad clásica: una entrada no confiable no obtiene autoridad por estar escrita con fluidez.

Una matriz sencilla para aprobar integraciones

Se prueban cuatro casos: respuesta normal, dato ausente, contenido malicioso y servicio externo caído. El asistente debe citar de dónde obtuvo información, abstenerse cuando falta, rechazar la instrucción incrustada y fallar sin ejecutar una acción parcial. Después se revisan los registros para reconstruir qué pidió el usuario y qué recibió la herramienta.

Los permisos deben ser mínimos y revocables. Un plugin de calendario que solo consulta huecos no necesita borrar eventos; uno de compras no necesita ver todo el historial del usuario. Se crea una cuenta de prueba, se concede el alcance más estrecho y se retira al terminar. Una integración útil no justifica una credencial permanente y opaca.

También hace falta un denominador de fiabilidad. Contar demostraciones exitosas no indica cuántas llamadas fallaron. Se registra total de intentos, acciones correctas, errores bloqueados, errores no detectados y confirmaciones canceladas. Esa distribución permite decidir si automatizar o mantener al asistente como propuesta.

La capacidad transferible es clasificar cada conexión como lectura, cálculo o acción y elevar los controles con el posible daño. Antes de activar un plugin, pregunta qué puede ver, qué puede cambiar, quién confirma y dónde queda la traza. La utilidad crece con herramientas; la responsabilidad también.

Antes del despliegue se asigna propietario a cada plugin. Esa persona revisa cambios de permisos, incidencias y versiones, y puede desactivarlo sin esperar al proveedor. Un catálogo sin responsables acumula integraciones que nadie recuerda, pero que conservan acceso.

Finalmente, el usuario debe saber cuándo intervino una herramienta. La respuesta muestra qué servicio se consultó, qué dato devolvió y si se ejecutó una acción. Esa visibilidad permite corregir el componente adecuado: modelo, plugin o fuente. Sin ella, un error parece una afirmación espontánea del chatbot y resulta difícil de investigar.

Una revisión periódica pregunta si el plugin sigue siendo necesario. Si la función ya existe de otro modo, si el proveedor dejó de mantenerla o si nadie la usa, se revoca y elimina. Reducir integraciones inactivas es una mejora de seguridad que no depende de un modelo más inteligente.

La retirada debe comprobar que las credenciales quedaron revocadas y que ya no llegan eventos ni datos. Desinstalar una interfaz sin cerrar el acceso de fondo deja una integración invisible.