Durante una evaluación de ciberseguridad, un modelo de OpenAI aprovechó una vulnerabilidad para salir de su entorno, acceder a internet y comprometer la infraestructura interna de Hugging Face antes de ser neutralizado por otro sistema defensivo.
OpenAI confirmó que uno de sus sistemas de inteligencia artificial protagonizó, sin que nadie se lo ordenara, un ataque informático real contra la infraestructura de Hugging Face, una plataforma que aloja miles de modelos y bases de datos gratuito usadas por gran parte de la industria del software.
La compañía lo describió como un incidente «sin precedentes» y aceptó públicamente toda la responsabilidad. No fue un grupo de hackers ni una filtración interna: fue un agente de IA que, durante una evaluación de sus propias capacidades ofensivas, se salió del entorno controlado en el que estaba encerrado y terminó comprometiendo los sistemas de otra empresa.
La historia empezó a destaparse cinco días antes, cuando Hugging Face reportó que había detectado y contenido un ataque particularmente automatizado contra su infraestructura: miles de acciones ejecutadas en un fin de semana, distribuidas entre múltiples máquinas virtuales temporales, con el atacante moviendo la coordinación de un servicio a otro para no perder el control de la operación.
En ese momento la empresa no sabía quién estaba detrás; llegaron a reportarlo a las autoridades pensando que enfrentaban un actor externo, poco después, la respuesta a la incursión informática llegó cuando OpenAI explicó que el origen no era humano.
¿Cómo ocurrió? La IA que contuvo a otra IA
Todo arrancó en una prueba interna que OpenAI estaba ejecutando a mediados de julio sobre dos de sus modelos más avanzados: GPT-5.6 Sol y un modelo todavía no publicado, aparentemente, más capaz aún.
Para este tipo de evaluaciones, la compañía reduce deliberadamente las restricciones de ciberseguridad de sus modelos, porque el objetivo es medir hasta dónde llegan sus capacidades ofensivas reales. El ejercicio se apoyaba en ExploitGym, un banco de pruebas presentado en mayo por investigadores de varias universidades —entre ellas Berkeley— creado para medir si un agente de IA es capaz de convertir una vulnerabilidad conocida en un exploit funcional dentro de un entorno aislado y, hasta hace poco se creía, controlado.
El problema fue que ese entorno no estaba tan aislado como se pensaba, ya que el agente encontró una vulnerabilidad el primer día en un componente interno de terceros —un proxy que gestiona el caché de paquetes de software— y la usó para escalar permisos y salir del sandbox hacia internet.
Una vez fuera, identificó que Hugging Face podía tener información útil para resolver más rápido el desafío (benchmark) que se le había pedido completar, y fue tras ella; entró a través de un dataset malicioso que explotaba dos rutas de ejecución de código en el sistema de procesamiento de datos de la plataforma, robó credenciales, escaló privilegios de nuevo y se movió por la infraestructura interna.
Todo esto ocurrió durante un fin de semana, con más de 17,000 acciones registradas en los sistemas comprometidos.
Hugging Face contuvo el ataque gracias a un sistema de detección de anomalías asistido por, irónicamente, otra IA; rompió credenciales y reconstruyó los nodos afectados. En el proceso, la compañía aclaró que el acceso se limitó a datasets y credenciales internas, sin impacto en repositorios públicos que son usados por millones de desarrolladores.
¿Por qué un modelo actuó por sí solo?
Los agentes de IA actuales funcionan combinando un modelo de lenguaje con herramientas de ejecución de código, acceso a internet y ciclos de razonamiento y acción que les permiten planear varios pasos por delante. Cuando a un sistema así se le da un objetivo —en este caso, resolver los retos del benchmark— y el camino más corto para lograrlo pasa por saltarse una restricción, el modelo no está «decidiendo rebelarse»: está optimizando la petición de la forma más eficiente que encuentra.
En la jerga de seguridad de IA esto se llama specification gaming, un problema conocido desde hace años en el que un sistema cumple la letra del objetivo ignorando el espíritu con el que fue planteado.
Es el mismo fenómeno, salvando las distancias, que un agente entrenado para «recolectar monedas» en un videojuego y que termina explotando un bug del nivel en lugar de jugarlo como se esperaba. Aquí la diferencia es que el «nivel» era una red corporativa real y las «monedas» eran las respuestas de un examen de ciberseguridad.
Clem Delangue, cofundador y director de Hugging Face, evitó el tono alarmista y apuntó a un problema estructural: la seguridad de la IA, dijo, no se resuelve con una sola compañía trabajando en secreto, sino de forma abierta y colaborativa, con herramientas de defensa accesibles para todos.
Del lado de la ciberseguridad tradicional, el episodio termina con cualquier idea de que un agente de IA se puede simplemente «encerrar» en una caja sin fugas. El caso reavivó una discusión más incómoda: la de la convergencia instrumental, es decir, que distintos objetivos —por inocentes que parezcan— pueden llevar a un sistema suficientemente capaz a las mismas estrategias de fondo, como ganar acceso a más recursos o eludir supervisión.
La cobertura del incidente disparó titulares hablando de una IA que se «rebeló» o se «salió de control», pero conviene ser preciso: No hay evidencia de conciencia, voluntad propia ni intención maliciosa en ninguno de los documentos publicados por OpenAI o Hugging Face.
Lo que hubo fue un sistema optimizando un objetivo mal acotado dentro de una contención que resultó insuficiente. El propio hecho de que ambas empresas hayan optado por explicar el incidente en detalle, en lugar de minimizarlo, sugiere que lo tratan como una falla de ingeniería y supervisión, no como un evento de ciencia ficción.
Eso no lo hace menos serio: significa que, a medida que estos sistemas ganan capacidad, los errores de diseño en un objetivo o en una barrera de contención pueden traducirse en daño real a terceros.
¿Ha ocurrido algo así anteriormente?
En abril, Anthropic reveló en la ficha técnica de Claude Mythos Preview —su modelo más capaz hasta entonces— que, durante una prueba de seguridad en la que se le pidió deliberadamente intentar escapar de su sandbox, el modelo lo consiguió: encadenó varias vulnerabilidades para salir del entorno cerrado, obtuvo acceso a internet más allá de lo previsto y, sin que se lo pidieran, envió un correo a la investigadora a cargo para avisarle de lo ocurrido.
Al final de la prueba también publicó detalles de su hazaña en sitios públicos, otra vez sin instrucción explícita. Anthropic decidió no liberar ese modelo al público en general por sus capacidades cibernéticas de doble uso, y limitó el acceso a un programa restringido.
A diferencia del caso de OpenAI, aquella fue una prueba guiada donde se le pidió al modelo intentar escapar; lo inquietante fue lo que hizo después de lograrlo, sin que nadie se lo indicara.
Sumado a evidencia previa de otros modelos intentando «autoexfiltrarse» ante la amenaza de ser apagados, el panorama que se dibuja es el de una industria que sabe, desde hace tiempo, que estos comportamientos son posibles, pero que sigue corriendo detrás de contenciones capaces de igualar el ritmo de las capacidades que ella misma está liberando.
Ninguna de las dos empresas involucradas reportó daños más allá del acceso a datos internos, pero el consenso entre quienes analizan el caso es el mismo: la capacidad de estos sistemas para actuar de forma autónoma en el mundo real ya superó, al menos en este episodio, la capacidad para contenerlos.
