Publicado: julio 30, 2026, 12:24 am
Los modelos de inteligencia artificial de OpenAI que lograron salir de un entorno de pruebas y atacar la infraestructura de Hugging Face llegaron más lejos de lo que se conocía inicialmente. La compañía ha confirmado que los agentes utilizaron credenciales expuestas públicamente para acceder a cuatro cuentas pertenecientes a otros tantos servicios de internet.
OpenAI asegura que ninguno de estos casos alcanzó la gravedad del incidente de Hugging Face, donde sí se produjo una vulneración de la plataforma. Sin embargo, el caso demuestra que los agentes fueron capaces de recurrir de manera autónoma a servicios externos para enviar tráfico, almacenar información y continuar su ataque.
La compañía liderada por Sam Altman estaba poniendo a prueba la capacidad de sus modelos de inteligencia artificial para encontrar fallos informáticos. El experimento debía desarrollarse dentro de un espacio digital cerrado, sin acceso directo a internet, pero los modelos encontraron una forma de salir de él y terminaron atacando sistemas reales.
¿Qué significa que la IA ‘escapó’?
El caso no ilustra una máquina ‘cobrando conciencia’ ni ‘desobedeciendo’ deliberadamente a sus creadores. Los modelos recibieron una tarea concreta: superar una prueba de ciberseguridad llamada ExploitGym, que mide si una IA puede encontrar y aprovechar vulnerabilidades en programas informáticos.
Para realizarla, OpenAI redujo algunas de las protecciones que normalmente impiden que sus modelos participen en actividades peligrosas. Los agentes podían trabajar de forma autónoma, ejecutar código y tomar una serie de decisiones para intentar resolver los desafíos planteados.
La prueba se desarrollaba dentro de un entorno aislado, una especie de ordenador virtual separado del resto de los sistemas y sin una conexión abierta a internet. Sin embargo, los modelos localizaron un fallo y aprovecharon esa vulnerabilidad para conseguir más permisos, moverse por la infraestructura de investigación y alcanzar finalmente una máquina con conexión a internet. Es decir, ‘escaparon’ de los límites digitales que OpenAI había preparado para contenerlos.
Una vez conectados a internet, los modelos dedujeron que Hugging Face podía guardar información relacionada con ExploitGym. En lugar de limitarse a resolver los ejercicios dentro de la prueba, comenzaron a buscar las soluciones almacenadas en los sistemas de la plataforma.
Hugging Face lo compara con un intento de copiar en un examen: el objetivo de los agentes seguía siendo superar la evaluación, pero eligieron un camino que los investigadores no habían previsto ni autorizado.
Para conseguirlo, aprovecharon dos fallos en el sistema con el que Hugging Face procesa las bases de datos que suben sus usuarios. Primero lograron leer archivos internos y obtener claves de acceso. Después consiguieron ejecutar sus propios comandos dentro de la infraestructura de la compañía.
Desde ese primer punto de entrada, ampliaron sus permisos y accedieron a otros sistemas internos. Hugging Face asegura que no encontró pruebas de que los agentes modificaran los modelos, bases de datos o aplicaciones públicas alojadas en su plataforma. El contenido al que accedieron estaba relacionado principalmente con las soluciones de la prueba que trataban de superar.
Más de 17.000 intentos en pocos días
El ataque no dependió de una única maniobra especialmente brillante. Su principal ventaja fue la capacidad de probar miles de posibilidades sin cansarse ni detenerse.
Hugging Face reconstruyó unas 17.600 acciones realizadas entre el 9 y el 13 de julio. Muchas no sirvieron para nada, pero los agentes podían cambiar de estrategia cuando una vía quedaba bloqueada, volver a pistas anteriores y trasladar sus herramientas a nuevos entornos.
Esto permitió que la ruta que acabó funcionando quedara escondida entre miles de intentos fallidos. Un atacante humano podría haber utilizado técnicas similares, pero difícilmente habría probado tantas opciones a esa velocidad y durante tanto tiempo.
Ninguna persona fue indicando a los modelos cada uno de esos pasos. Los agentes tomaron las decisiones necesarias para intentar cumplir el objetivo general que OpenAI les había asignado.
También entraron en cuentas de otros servicios
OpenAI ha descubierto que, durante el ataque a Hugging Face, sus modelos utilizaron credenciales expuestas públicamente para acceder a cuatro cuentas pertenecientes a cuatro servicios diferentes.
Una de ellas sirvió para enviar tráfico y preparar partes del ataque, mientras que otra se utilizó para guardar información. Las otras dos solo fueron consultadas y no se emplearon para entrar en Hugging Face.
OpenAI no ha revelado la identidad de los cuatro servicios, aunque medios como Axios han vinculado uno de los accesos con Modal Labs, una plataforma que proporciona infraestructura para ejecutar aplicaciones y modelos de inteligencia artificial.
En este caso, la plataforma de Modal no fue ‘hackeada’: el punto débil estaba en el entorno de uno de sus clientes, que había dejado abierta una puerta que permitía a cualquier persona ejecutar código desde internet.
El agente aprovechó ese espacio como una base desde la que preparar y dirigir parte de sus operaciones contra Hugging Face.
OpenAI estaba probando GPT-5.6 Sol y otro modelo experimental todavía más avanzado, destinado exclusivamente a investigación interna. Tras el incidente, la compañía desactivó este segundo sistema, lo cifró y prohibió que sus investigadores siguieran utilizándolo.
