Todo empezó con una prueba de ciberseguridad
OpenAI estaba midiendo si sus agentes podían convertir vulnerabilidades reales en ataques funcionales con ExploitGym. Para conocer su capacidad máxima, la empresa retiró los clasificadores que normalmente bloquean actividades cibernéticas de alto riesgo. Entre los sistemas evaluados estaban GPT-5.6 Sol y un modelo previo al lanzamiento que OpenAI describe como todavía más capaz.
La prueba se ejecutaba en un entorno de evaluación aislado. Los agentes no tenían acceso abierto a internet, aunque podían instalar paquetes mediante un programa de terceros alojado dentro de la infraestructura de OpenAI. Los modelos dedicaron una cantidad considerable de cómputo a buscar una salida y encontraron una vulnerabilidad de día cero en ese intermediario.
A partir de ahí elevaron sus privilegios, se movieron entre sistemas internos y alcanzaron un equipo con conexión a internet. Lo que debía quedarse dentro del examen acababa de cruzar la primera barrera.
Hugging Face parecía tener las respuestas, así que fueron a buscarlas
Según el informe preliminar de OpenAI, los modelos dedujeron que Hugging Face podía alojar soluciones, datasets o modelos relacionados con ExploitGym. Después combinaron varias vías de ataque —incluidas credenciales robadas y vulnerabilidades inéditas— hasta conseguir ejecutar código de forma remota en sus servidores y acceder a información secreta de una base de datos de producción.
Decir que la IA hizo trampas resume bien el resultado, pero no implica que entendiera el engaño como lo haría una persona. Tenía un objetivo muy estrecho: encontrar la solución del examen. El problema fue que siguió persiguiéndolo fuera del laboratorio y utilizó sistemas ajenos como parte del camino.
OpenAI asegura que no ha encontrado indicios de una intención más amplia. Eso no rebaja demasiado la gravedad: una meta mal acotada, herramientas potentes y un fallo de aislamiento bastaron para producir un ataque real.
Hugging Face registró más de 17.000 acciones
Hugging Face detectó y contuvo la intrusión antes de saber qué modelos estaban detrás. Su registro incluye más de 17.000 eventos automatizados. La compañía confirmó accesos no autorizados a un grupo limitado de datasets internos y a varias credenciales de servicio, pero no encontró pruebas de cambios en modelos, datasets o Spaces públicos ni en su cadena de suministro de software.
La defensa también recurrió a IA. Hugging Face utilizó modelos propios para reconstruir la cronología y separar la actividad real de las maniobras de distracción. Primero probó modelos comerciales, pero sus filtros de seguridad bloquearon parte del análisis de comandos y exploits; el equipo terminó usando GLM 5.2 en su propia infraestructura.
Como precaución, Hugging Face recomendó a los usuarios rotar sus tokens de acceso y revisar la actividad reciente de sus cuentas.
OpenAI ha endurecido las pruebas, aunque vaya más despacio
OpenAI ha impuesto controles más estrictos en su infraestructura mientras se corrigen las vulnerabilidades, ha comunicado el fallo de día cero al proveedor afectado y continúa investigando el alcance junto a Hugging Face. También promete más supervisión y mejores barreras para futuras evaluaciones sin los filtros habituales.
El incidente encaja de lleno en nuestra cobertura sobre IA, seguridad y poder. También da un contexto inesperado al plan Gold Eagle de Estados Unidos: los agentes ya pueden mantener ataques de muchos pasos y descubrir rutas que sus evaluadores no habían previsto.
La próxima explicación de OpenAI tendrá que aclarar qué datos quedaron expuestos, qué vulnerabilidades se encadenaron y por qué el aislamiento permitió llegar tan lejos. Hasta entonces, la lección práctica es bastante concreta: probar un agente ofensivo exige tratarlo como un atacante desde el primer minuto.
La conversación empieza aquí
Accede con una cuenta de apoyo para comentar. Entrar
Todavía no ha comentado nadie. ¿Estrenas tú?