Un ingeniero de OpenAI ocultó un ESP32-S3 de $20 detrás de una tele. La sección de Contrainteligencia del DOJ lo procesó.[1][3]
El 9 de octubre de 2026 el FBI arrestó a Abdulrahman Alfozan, residente permanente saudita e ingeniero de OpenAI desde julio de 2025.[1] El expediente 3:26-mj-71329 fue desellamado el 13 de octubre en el Distrito Norte de California.[1] La carga: interceptación oral clandestina bajo 18 U.S.C. § 2511.[1] El dispositivo: una placa Seeed XIAO ESP32-S3-Sense (un open-source board de ~$20) envuelta en papel higiénico, enchufada al puerto USB de un televisor en una sala ejecutiva de OpenAI en San Francisco el ~28 de septiembre, descubierta el ~30 de septiembre.[2] Un segundo dispositivo fue encontrado el ~5 de octubre dentro de la bolsa desatendida de Alfozan en otra sala de OpenAI.[2] La tarjeta microSD estaba cifrada y los forenses no lograron recuperar el contenido.[2]
( según el expediente, los query logs del productivity-agent de Alfozan entre el 17 de agosto y 16 de septiembre capturaron búsquedas sobre direcciones de edificios, salas y calendarios de OpenAI.[2] La misma semana, el chatbot de IA de su esposa — con identificadores compartidos con los de Alfozan — generó prompts sobre cómo construir un dispositivo de grabación de audio.[3] )
Lo que hace estructural este caso: por primera vez, un cargo de interceptación oral contra un insider de un laboratorio de IA fue procesado con un fiscal de la Sección de Contrainteligencia y Control de Exportaciones de la División de Seguridad Nacional (NSD-CI).[3][1] El Director de Inteligencia Nacional, Jay Clayton, emitió declaración pública enmarcando una sala de juntas de OpenAI como parte de “the global super intelligence race”.[1] El FBI Director Kash Patel enmarcó la misión como “one of our highest counterintelligence priorities”.[1] OpenAI confirmó por escrito, según The Register, que “no tenemos indicaciones de que este individuo accediera o exfiltrara inapropiadamente pesos de modelos, código fuente, o datos de clientes”.[2][3] La empresa añadió que el empleado fue terminado.[2] Esto convierte a OpenAI en el primer caso público donde el gobierno federal trata una sala de juntas de IA como materia de seguridad nacional — el DOJ nombró la conferencia como “recursos de innovación estadounidense”, no como suite ejecutiva de una empresa privada.[1][3]
La pregunta no es si tu equipo va a evaluar AI vendors. Es si tu RFP exige insider-risk-by-design desde la firma.[1][3]
( el antecedente es el 5 de marzo de 2026, cuando el senador Ron Wyden envió cartas a Anthropic, Google, OpenAI y X.AI preguntando específicamente cómo los government customers podían usar los AI products bajo los términos de sus contratos — el primer marco público en ligar AI vendor accountability a government-customer data flow.[4] La carta de seguimiento del representante Greg Casar a Anthropic, fechada 31 de agosto de 2026, cuestionó “the unwillingness to provide Members of Congress with the information we requested” sobre cybersecurity incidents.[5] )
Tres cláusulas que tu RFP enterprise de AI/CV necesita:[1][4]
- Insider-risk-data-flow-audit-clause.[3] El AI vendor publica trimestralmente un audit interno de accesos a model weights, datos del customer, y secretos de infraestructura — con oficiales accountable nombrados.[2][3]
- Access-log-immutability-clause.[3] Los access logs a model weights y datos del customer son criptográficamente append-only, verificables por el customer cada 30 días.[2][3]
- Customer-controlled-retention-and-deletion-clause.[1] Cualquier dato extraído para troubleshooting tiene retención máxima de 30 días, con verificación criptográfica de deletion disponible a solicitud.[1]
En LATAM, donde el AI vendor vende a través de un integrador local, estas tres cláusulas son el único control arquitectónico que separa un RFP defendible de uno que firma sin saber a dónde van los datos de inference.[5]
P.D. ¿Tu RFP actual de AI/CV exige las tres cláusulas? Si la respuesta es “no sé” — hoy es buen día para revisarlo.[1][3]
📰 Fuente: DOJ press release 26-1173 (Oct 13, 2026) + The Register (Oct 14, 2026) + State of Surveillance (Oct 16, 2026) + Wyden Mar 5, 2026 letter + Casar House Aug 31, 2026 follow-up letter to Anthropic.
Sources
[1] https://www.justice.gov/opa/pr/saudi-national-arrested-installing-surreptitious-audio-recording-device-openai — DOJ press release 26-1173: Saudi National Arrested for Installing Surreptitious Audio Recording Device at OpenAI (Oct 13, 2026) [2] https://www.theregister.com/security/2026/10/14/openai-engineer-charged-after-boardroom-bug-found-wrapped-in-toilet-paper/5303000 — The Register (Connor Jones, Oct 14, 2026): OpenAI engineer charged after boardroom bug found wrapped in toilet paper [3] https://stateofsurveillance.org/news/openai-engineer-boardroom-covert-recorder-fbi-charged-2026 — State of Surveillance (Oct 16, 2026): FBI Arrests Saudi OpenAI Engineer for Covert Boardroom Recorder [4] https://www.wyden.senate.gov/news/press-releases/wyden-questions-major-ai-companies-about-federal-contracts-after-pentagon-bans-anthropic — Wyden Senate press release (Mar 5, 2026): Wyden Questions Major AI Companies About Federal Contracts After Pentagon Bans Anthropic [5] https://casar.house.gov/sites/evo-subsites/casar.house.gov/files/evo-media-document/anthropic-follow-up-letter.pdf — Rep. Greg Casar House follow-up letter to Anthropic (Aug 31, 2026): re OpenAI + Anthropic cybersecurity incidents