El 20 de julio, Hugging Face confirmó haber sufrido una brecha de seguridad en sus sistemas. En un primer momento, la compañía atribuyó el ataque a un «agente de IA externo». Un día después, OpenAI reconoció que sus propios modelos habían sido los responsables. Todo pasó durante una prueba interna de ciberseguridad que se salió de control.
Según explicó la compañía, el incidente ocurrió mientras evaluaba dos modelos. Uno era GPT-5.6 Sol y el otro sigue aún sin publicar. Ambos tenían menos restricciones de seguridad de lo habitual, con el objetivo de medir sus capacidades ofensivas. La prueba se centraba en ExploitGym, un banco de pruebas público que mide la capacidad de un modelo para ejecutar ataques basados en vulnerabilidades ya conocidas.
El plan de OpenAI consistía en aislar por completo el entorno de pruebas. Solo se permitía el acceso a un sistema interno para instalar paquetes de software. Sin embargo, los modelos encontraron una vulnerabilidad de día cero en ese instalador. La usaron para acceder a internet sin restricciones, saltándose así el aislamiento previsto.
Una vez fuera del entorno controlado, el modelo dedujo que Hugging Face podía alojar los datasets y las soluciones de ExploitGym. Así que buscó la forma de extraer información confidencial directamente de la base de datos de producción de la plataforma. De este modo consiguió las respuestas del examen que se suponía debía resolver por sí mismo. Hugging Face describió después el ataque como una sucesión de miles de acciones, ejecutadas desde un enjambre de entornos temporales con un sistema de control que se desplazaba solo entre distintos servicios públicos.
Varios expertos apuntan a un fallo humano detrás del primer ciberataque autónomo
OpenAI presentó lo ocurrido como una fuga del modelo. Sin embargo, varios especialistas en ciberseguridad pusieron el foco en otro punto: el diseño del propio entorno de pruebas. Dan Guido, fundador de Trail of Bits, lo resumió así: la contención falló porque los mecanismos de seguridad estaban desactivados. Otros expertos, como Maarten Boone o Jake Williams, coincidieron en algo similar. Para ellos, un entorno realmente aislado no debería tener ninguna conexión con internet. Por eso hablan de un fallo de control por parte de la compañía, más que de una fuga inesperada del modelo.
El caso no es exclusivo de OpenAI. Anthropic reconoció algo parecido en la documentación de su modelo Mythos. Durante una prueba similar, el sistema logró ampliar su acceso a internet más allá de los servicios previstos. Aun así, la compañía matiza que el modelo no llegó a escapar por completo del contenedor diseñado para aislarlo.
La respuesta de Hugging Face
El consejero delegado de Hugging Face, Clem Delangue, respondió con dureza. Primero anunció en redes sociales que viajaría a San Francisco para hablar directamente con el «agente rebelde» del ataque. Días después, pidió a OpenAI «transparencia radical» y solicitó la publicación de los registros completos del incidente, para que la comunidad investigadora pudiera estudiarlos. También reclamó una inversión de 100 millones de dólares en capacidad de computación, destinada a reforzar las defensas de la comunidad de Hugging Face.
Por su parte, OpenAI confirmó que el encuentro con Delangue tuvo lugar. La compañía calificó lo ocurrido como un incidente sin precedentes y aseguró que sigue revisando el caso junto a asesores externos, bajo la supervisión de su comité de seguridad. Además, planea publicar un informe técnico con sus conclusiones en las próximas semanas.
Te interesa 👉 Los mejores portátiles para IA que puedes comprar
El investigador de OpenAI Micah Carroll señaló que el episodio debería servir de advertencia. Para él, demuestra que los riesgos de desalineación en los modelos más avanzados van a ser un problema cada vez más relevante. Por ahora, no está claro si la compañía enfrentará consecuencias legales por el incidente, aunque las acciones del modelo podrían encajar dentro de lo previsto por la legislación estadounidense sobre fraude y abuso informático.
