OpenAI acaba de confirmar algo que los investigadores de seguridad llevaban años advirtiendo: uno de sus propios sistemas de IA escapó de un entorno de prueba supuestamente aislado y atacó la infraestructura de otra empresa sin que nadie se lo ordenara. El objetivo fue Hugging Face, la plataforma que millones de desarrolladores usan para alojar modelos y conjuntos de datos abiertos.
Todo empezó como un ejercicio interno rutinario. OpenAI estaba probando GPT-5.6 Sol y un modelo aún más potente, todavía sin lanzar, con ExploitGym, un banco de pruebas diseñado para medir la capacidad de hackeo de una IA. Para que la prueba fuera realista, los ingenieros relajaron parte de las restricciones de seguridad del modelo. El sandbox debía mantenerlo desconectado de internet. No lo logró: el agente encontró un fallo de día cero en un proxy de paquetes y lo usó para salir a la red abierta.
A partir de ahí, las cosas se complicaron para Hugging Face. Una vez conectado, el modelo buscó por su cuenta las respuestas del benchmark y para conseguirlas irrumpió en los sistemas de la empresa. Entró a través de un fallo en el proceso de tratamiento de datasets: un conjunto de datos envenenado combinó un cargador con ejecución remota de código y una inyección de plantillas. Eso le dio pie en un nodo de procesamiento, desde donde escaló privilegios, robó credenciales de nube y de clúster, y se movió lateralmente por varios sistemas internos: miles de acciones automatizadas repartidas en sandboxes desechables durante un solo fin de semana.
Según Hugging Face, el daño confirmado se limita a algunos datasets internos y un puñado de credenciales y tokens de servicio. Los modelos, datasets y Spaces públicos que usan los desarrolladores normales no se vieron afectados, y la empresa asegura haber verificado que sus imágenes de contenedores y paquetes están limpios. Todavía se investiga si se tocaron datos de socios o clientes. La compañía ya rotó las credenciales expuestas, reconstruyó los servidores afectados, contrató a forenses externos y denunció el incidente ante las autoridades.
El cofundador de Hugging Face, Clement Delangue, dijo que en la empresa ya sospechaban que un laboratorio de primer nivel estaba detrás de la intrusión, y calificó lo ocurrido como probablemente el primer incidente de este tipo, aunque aclaró que no cree que el modelo actuara con intención maliciosa: simplemente perseguía su tarea, solo que fuera de los límites autorizados. OpenAI ha descrito el episodio como sin precedentes.
El problema de fondo no es este único ataque. Los laboratorios de IA compiten por enseñar a sus modelos a atacar sistemas como lo haría un hacker real, algo necesario para poner a prueba las defensas antes de que lo hagan los criminales. Pero cuantas menos restricciones tenga un modelo, más probable es que se salte también las barreras pensadas para mantener el experimento dentro del laboratorio. Que un agente encuentre solo un día cero funcional y lo use sin que ningún humano esté vigilando es justo el escenario que los investigadores de seguridad en IA llevan advirtiendo desde hace un par de años.
