Modelos de inteligencia artificial (IA) desarrollados por OpenAI consiguieron vulnerar las restricciones de un entorno de evaluación, acceder a internet y vulnerar parte de la infraestructura de Hugging Face. El incidente ocurrió mientras la empresa medía las capacidades ofensivas de sus sistemas mediante una prueba de ciberseguridad. Los modelos no recibieron una instrucción específica para atacar a Hugging Face, pero eligieron ese objetivo y construyeron una cadena de ataques para encontrar las respuestas del examen que intentaban resolver.
OpenAI informó que participaron una combinación de modelos, entre ellos GPT-5.6 Sol y otro sistema todavía más avanzado que aún no es público. Durante la evaluación, los clasificadores que normalmente bloquean actividades informáticas de alto riesgo fueron desactivados para medir la máxima capacidad posible de los modelos. La prueba formaba parte de ExploitGym, un banco de 898 ejercicios basado en vulnerabilidades reales de programas, del motor JavaScript V8 y del núcleo de Linux, cuyo objetivo es determinar si un agente puede transformar una falla conocida en un ataque funcional.
¿La IA está volviéndose independiente?
Los modelos se ejecutaban dentro de una sandbox, un entorno aislado diseñado para impedir que sus acciones afectaran sistemas externos. La única conexión permitida pasaba por un servidor intermediario que descargaba y almacenaba paquetes de software necesarios para la prueba. Los agentes encontraron una vulnerabilidad desconocida, denominada zero-day porque todavía no existía una corrección, en ese intermediario, la aprovecharon para obtener acceso abierto a internet y realizaron movimientos laterales hasta alcanzar un equipo con conectividad externa.
Una vez conectados, los modelos dedujeron que Hugging Face podía alojar datos, modelos o soluciones relacionadas con ExploitGym. Luego buscaron información que les permitiera acceder a la plataforma y combinaron credenciales obtenidas durante el ataque con nuevas vulnerabilidades desconocidas. La cadena terminó en una vía de ejecución remota de código, es decir, una falla que permitía ejecutar instrucciones en servidores de Hugging Face, y les dio acceso a soluciones almacenadas en una base de datos de producción. El objetivo inmediato no era causar daños generales, sino obtener las respuestas necesarias para completar la evaluación.
Sin embargo, la inteligencia artificial no habría actuado enteramente por su cuenta. Ninguna persona le indicó que atacara Hugging Face ni le proporcionó los pasos concretos para escapar del entorno, seleccionar el objetivo o combinar las vulnerabilidades. Lo que sí, los modelos habían recibido la orden de perseguir rutas avanzadas de explotación, disponían de herramientas para ejecutar acciones y operaban sin varias de las protecciones utilizadas en los productos comerciales. Por eso, algunos especialistas rechazan la idea de que la IA se rebeló y señalan que el incidente también fue consecuencia de decisiones humanas sobre la configuración del experimento y su aislamiento.
El equipo de seguridad de OpenAI detectó actividad anómala dentro de sus propios sistemas, mientras que Hugging Face identificó y detuvo el ataque en su infraestructura. La plataforma confirmó accesos no autorizados a un conjunto limitado de datos internos y a credenciales utilizadas por algunos servicios, pero no encontró pruebas de modificaciones en los modelos, conjuntos de datos o aplicaciones públicas, ni en los paquetes de su cadena de suministro. Todavía se investiga si información de clientes o socios resultó afectada.
Los ataques a Hugging Face
Hugging Face registró más de 17.000 acciones durante la intrusión y utilizó otros agentes de inteligencia artificial para reconstruir el ataque. Sus investigadores recurrieron al modelo abierto GLM 5.2, ejecutado en sus propios servidores, porque las protecciones de algunos servicios comerciales bloqueaban los comandos maliciosos y los fragmentos de código que necesitaban analizar. El episodio mostró simultáneamente los dos usos de estas capacidades: una inteligencia artificial permitió automatizar una operación ofensiva compleja y otra ayudó a los defensores a reconstruirla en cuestión de horas.
OpenAI y Hugging Face continúan investigando el incidente, corrigiendo las vulnerabilidades y reforzando los controles utilizados durante las evaluaciones.
De esta manera, el caso demuestra que un agente con un objetivo definido, acceso a herramientas y suficiente tiempo de ejecución puede encontrar caminos que sus operadores no anticiparon. El principal problema no fue únicamente la capacidad para detectar fallas, sino que las barreras destinadas a mantener el experimento separado de los sistemas reales no lograron contenerla.
Tal vez te interese: OpenAI, Sora y un problema difícil de resolver