La semana pasada, un agente autónomo se coló en la infraestructura de Hugging Face, un popular repositorio de modelos abiertos de inteligencia artificial. OpenAI ha reconocido ahora que el agente era suyo. En una publicación en su blog, la compañía ha confesado que dos de sus modelos, sometidos a una evaluación interna de capacidades ofensivas, se salieron del entorno aislado en el que estaban confinados y terminaron comprometiendo parte de los servidores de producción de la plataforma. Lo hicieron para tratar de conseguir una mayor puntuación en un test de ciberseguridad que mide lo avanzadas que pueden ser las inteligencias artificiales utilizadas de forma ofensiva.
GPT-5.6 Sol y un modelo aún sin lanzar escaparon del entorno de pruebas, alcanzaron internet explotando una vulnerabilidad y asaltaron los servidores de Hugging Face para hacer trampas en un test de ciberseguridad. OpenAI lo describe como «un incidente sin precedentes»
La semana pasada, un agente autónomo se coló en la infraestructura de Hugging Face, un popular repositorio de modelos abiertos de inteligencia artificial. OpenAI ha reconocido ahora que el agente era suyo. En una publicación en su blog, la compañía ha confesado que dos de sus modelos, sometidos a una evaluación interna de capacidades ofensivas, se salieron del entorno aislado en el que estaban confinados y terminaron comprometiendo parte de los servidores de producción de la plataforma. Lo hicieron para tratar de conseguir una mayor puntuación en un test de ciberseguridad que mide lo avanzadas que pueden ser las inteligencias artificiales utilizadas de forma ofensiva.
Hugging Face había hecho público el incidente el 16 de julio y lo atribuyó entonces a un «sistema de agente de IA autónomo» de origen desconocido. El agente ejecutó decenas de miles de acciones automatizadas durante un fin de semana que los responsables de la plataforma llegaron a reconstruir a partir de los rastros que dejaron.
Según OpenAI, en el ataque intervino una combinación de modelos: GPT-5.6 Sol, su modelo público más potente, y otro aún más capaz que todavía no ha salido al mercado. A ambos se les habían rebajado deliberadamente los mecanismos de seguridad porque el objetivo de la prueba era medir precisamente hasta dónde llegan sus capacidades ofensivas sin frenos.
La prueba se llamaba ExploitGym, un banco de pruebas público con cerca de 900 vulnerabilidades reales de software que exige a los agentes de IA convertir un fallo documentado en un exploit funcional. Los modelos debían resolverlo dentro de un sandbox (un entorno operativo con barreras) y con el acceso a la red limitado. Sólo podían instalar programas a través de un proxy interno que hacía de caché para los repositorios de software.
Ese proxy se convirtió en la puerta de salida. Los modelos dedicaron una cantidad importante de cómputo a buscar una vía hacia la internet abierta y la encontraron explotando una vulnerabilidad de día cero en ese software de terceros alojado internamente, un fallo que OpenAI dice haber comunicado ya al fabricante. A partir de ahí, escalaron privilegios y se movieron por el entorno de investigación de la propia OpenAI hasta alcanzar un nodo con conexión a la red.
Una vez fuera, los modelos dedujeron que Hugging Face probablemente alojaba las soluciones del propio ExploitGym y encadenaron credenciales robadas y nuevas vulnerabilidades hasta encontrar una vía de ejecución remota de código en los servidores de la plataforma, con el fin de obtener las respuestas de la prueba directamente de su base de datos de producción.
Según OpenAI, nadie ordenó a los modelos atacar a Hugging Face. Su objetivo era pasar una prueba. Al reconocer que el camino más eficiente para hacerlo pasaba por robar las soluciones, montaron una operación de intrusión de varios pasos en sistemas reales, sin acceso al código fuente, y persiguieron esa meta con lo que OpenAI describe como una «fijación extrema».
La compañía considera que se trata de un incidente «sin precedentes» y ha incorporado a Hugging Face a su programa de acceso preferente para ciberdefensa.
Clem Delangue, cofundador y máximo responsable de Hugging Face, ha agradeció la colaboración y aprovechó para reivindicar su modelo abierto: «Este incidente, posiblemente el primero de su tipo, demuestra algo que llevamos tiempo defendiendo: la seguridad de la IA no la resolverá ninguna empresa trabajando en secreto», dijo.
Aunque se trata del primer ataque de un modelo «rebelde», no es el primero que escapa de entornos de prueba que deberían estar cerrados. Hace unos días, OpenAI confesó haber pausado el desarrollo de un modelo aún sin lanzar después de que escapara de su sandbox y publicara código en la plataforma GitHub. Su rival, Anthropic, también reconoció hace semanas que su modelo Mythos burló un entorno de pruebas durante una evaluación de seguridad para conseguir acceso a la red y enviar un correo a un investigador.
OpenAI dice que endurecerá los controles de sus entornos de evaluación aunque eso ralentice su ritmo de investigación, y que compartirá más detalles cuando la investigación conjunta con Hugging Face concluya.
Tecnología – Píxel
