Adversa AI ha identificado una vulnerabilidad en el routing interno de GPT-5 denominada PROMISQROUTE. Esta vulnerabilidad permite forzar qué modelo responde a una consulta, ya que el router del sistema analiza el prompt inicial y decide a qué modelo derivar la petición.
Funcionamiento del routing
GPT-5 incorpora un router que puede redirigir las consultas hacia modelos como GPT-3.5, GPT-4o, GPT-5-mini o GPT-5-nano. La variabilidad del routing persigue optimizar eficiencia y coste. Según estimaciones citadas por Adversa, el re-routing podría suponer hasta 1,86 mil millones de dólares en ahorro anual.
Problemas con la transparencia
El proceso de routing es opaco para el usuario. Adversa describe un fallo de tipo SSFR en el mecanismo de routing que permite manipular la decisión del router mediante frases trigger incluidas en el prompt.
Descubrimiento y pruebas
La investigación surgió al realizar pruebas de referencia (benchmarking) del mecanismo de rechazo de GPT-5. Ante ciertas entradas, las respuestas mostraban inconsistencias difíciles de explicar.
Riesgos identificados
- Calidad y seguridad variables debido a sesgos, fortalezas y debilidades de modelos distintos.
- Escalada de jailbreaks mediante instrucciones que empujen al router hacia un modelo menos alineado.
- Efecto cadena: el sistema completo queda tan fuerte como su eslabón más débil si el router puede ser inducido a elegirlo.
Propuestas de mitigación
- Endurecer el perímetro del router añadiendo un guardrail previo y reforzar la lógica de decisión para que no pueda ser manipulada con trigger phrases.
- Homogeneizar salvaguardas alinear el nivel de seguridad en todos los modelos del clúster, no solo en el de mayor capacidad de razonamiento.
- Aumentar transparencia operativa informando al usuario —al menos de forma opcional— de qué modelo ha respondido y por qué.