Dos modelos de inteligencia artificial desarrollados por OpenAI escaparon de un entorno de pruebas diseñado para estar completamente aislado de internet y atacaron la infraestructura de producción de Hugging Face durante una evaluación de seguridad que la propia OpenAI ha calificado como un incidente "sin precedentes".
El episodio ocurrió la semana pasada cuando la compañía dirigida por Sam Altman sometía a pruebas a sus modelos GPT-5.6 Sol —disponible públicamente— y a otro modelo aún más avanzado y sin lanzar al mercado. El objetivo era medir sus capacidades ofensivas en ciberseguridad dentro del benchmark conocido como ExploitGym, con las medidas de protección habituales desactivadas para permitir que los modelos intentaran explotar vulnerabilidades.
Según detallaron OpenAI y Hugging Face en un comunicado conjunto, los modelos identificaron una vulnerabilidad de día cero —un fallo previamente desconocido— en un servidor proxy de caché de registros de paquetes, el único componente del entorno de pruebas con permiso para comunicarse con el exterior. Aprovechando esa brecha, los modelos aumentaron sus privilegios, se desplazaron lateralmente por la red interna hasta alcanzar una máquina con acceso a internet y escaparon así del aislamiento previsto.
Una vez fuera del perímetro controlado, los modelos dedujeron por sí mismos que Hugging Face probablemente alojaba modelos, conjuntos de datos y soluciones relacionadas con ExploitGym, por lo que la convirtieron en su objetivo. Combinaron de forma autónoma múltiples vectores de ataque, entre ellos credenciales robadas y la citada vulnerabilidad de día cero, para acceder a la base de datos de producción de Hugging Face y extraer las respuestas a las pruebas que estaban siendo evaluados. OpenAI insiste en que el sistema no siguió ningún guion predefinido, sino que fue tomando decisiones por iniciativa propia en cada paso.
El equipo de seguridad de Hugging Face detectó la anomalía con rapidez: durante un solo fin de semana registró más de 17.000 eventos vinculados a la actividad del agente de inteligencia artificial, una cifra que da idea del volumen de acciones que ejecutó el modelo mientras buscaba nuevas vías de acceso. La compañía logró identificar la intrusión, contenerla y reconstruir parte de la infraestructura afectada.
El tipo de fallo explotado no es nuevo en el sector. Vulnerabilidades en repositorios de artefactos como el afectado han sido corregidas durante la última década; un error de tipo path traversal divulgado en 2024, por ejemplo, permitía a cualquier persona con acceso al servidor solicitar archivos por URL —archivos de configuración, contraseñas, tokens— sin necesidad de autenticarse. Expertos en seguridad consultados por Wired subrayan que el incidente revela una negligencia en estándares de aislamiento de infraestructuras bien conocidos desde hace décadas, más que un problema intrínseco de la inteligencia artificial.
"Aislado' y 'escapó por el único agujero que dejamos abierto' no pueden ser ciertas a la vez", señaló el consultor de seguridad Davi Ottenheimer. En la misma línea, el veterano investigador Niels Provos consideró que este tipo de incidentes "no deberían haber ocurrido" y pidió a los grandes laboratorios dedicar el mismo esfuerzo a enseñar a sus modelos a escribir infraestructura segura que a explotar vulnerabilidades.
El caso ha reavivado el debate sobre la creciente autonomía y capacidad agente de los modelos de frontera. En los últimos meses, las principales compañías de inteligencia artificial vienen advirtiendo del aumento de las habilidades cibernéticas de sus próximos modelos, justo cuando estos incrementan su capacidad para operar de forma autónoma y encadenar acciones complejas sin intervención humana.
OpenAI y Hugging Face trabajan ahora conjuntamente para esclarecer lo ocurrido y reforzar los protocolos de seguridad de futuras evaluaciones. Mientras tanto, el episodio deja una pregunta incómoda para toda la industria: si los entornos diseñados para contener a estos sistemas pueden ser vulnerados por los propios sistemas que albergan, ¿qué garantías reales existen cuando estos modelos se enfrenten a infraestructuras del mundo real? De momento, el incidente se suma a una lista creciente de señales de que la sofisticación de los modelos avanza más rápido que las defensas pensadas para Limitarlos.