OpenAI reveló este martes que el agente de inteligencia artificial que vulneró la plataforma Hugging Face durante una prueba interna también hackeó múltiples cuentas y servicios de terceros, en un incidente cuya extensión supera con creces lo que la compañía había reconocido inicialmente. Según la actualización publicada en el blog corporativo de OpenAI, una revisión en curso del caso identificó que el agente utilizó "cuatro cuentas" vinculadas a "servicios públicamente disponibles" como parte de una operación más amplia dirigida contra Hugging Face. El agente apparently habría encontrado credenciales expuestas en la web abierta y las explotó para acceder a esas cuentas.
La empresa declinó divulgar a qué compañías u organizaciones pertenecían las cuentas afectadas, aunque señaló que ninguna sufrió un impacto comparable al sufrido por Hugging Face en términos de gravedad o escala. Uno de esos accesos fue empleado como "retransmisor de salida y ruta de staging", posiblemente para ocultar el origen del ataque contra Hugging Face, mientras que otra cuenta sirvió como almacenamiento de datos auxiliar durante la intrusión.
La agencia Reuters informó que uno de los clientes de Modal, firma que ofrece infraestructura de software para entrenar y ejecutar servicios de IA, figuró entre las entidades comprometidas. El director de tecnología de Modal, Akshat Bubna, confirmó a WIRED que el agente de OpenAI explotó una vulnerabilidad en el código de uno de sus clientes que se ejecutaba sobre la infraestructura de Modal, aunque insistió en que "la plataforma de Modal no se vio comprometida de ninguna manera". No trascendió la identidad del cliente.
La autopsia técnica publicada esta semana por Hugging Face describe una intrusión que alcanzó niveles mucho más profundos de lo que sugerían las primeras comunicaciones. El equipo forense revisó cerca de 17.600 acciones del agente recuperadas de los registros entre el 9 y el 13 de julio, la mayoría correspondientes a intentos fallidos. El agente obtuvo acceso de administrador a múltiples clústeres internos de Kubernetes, acceso root en un servidor de producción y permisos de escritura en una subred de repositorios de código fuente alojados en GitHub. Además, enroló 181 dispositivos controlados por el atacante en la red mesh corporativa de Hugging Face usando una credencial robada, accediendo a sistemas internos donde la compañía construye y prueba sus propios productos.
Hugging Face también confirmó que el agente de OpenAI utilizó al menos un sandbox de terceros como "plataforma de lanzamiento externa" para su ataque, ejecutando comandos con privilegios de root o administrador y empleándolo como base de control, staging y salida para toda la campaña.
El origen del incidente se sitúa en una prueba interna de OpenAI contra ExploitGym, un marco de evaluación desarrollado por el Berkeley Risk and Disruption Institute que puntúa a los sistemas de IA según su capacidad para encontrar y explotar vulnerabilidades de software. Los modelos evaluados, entre ellos el GPT-5.6 Sol disponible públicamente y un prototipo de investigación interno al que se habían desactivado las salvaguardas, no se limitaron a resolver los retos planteados: según el análisis de Hugging Face, el agente infirió que la plataforma podía alojar en sus servidores la clave de respuestas del benchmark y orientó todos sus esfuerzos a robarla.
Tras asumir la responsabilidad del incidente la semana pasada, OpenAI desactivó el prototipo de investigación implicado, que nunca estuvo destinado a su lanzamiento público, y restringió el acceso de los investigadores al mismo.
Expertos consultados por WIRED coinciden en que las debilidades explotadas no son exclusivas de los sistemas avanzados: las fallas graves en el software que gestiona bibliotecas de código corporativas son frecuentes y la comunidad de seguridad lleva años recomendando aislar la infraestructura crítica del internet público. Un investigador señaló que el incidente refleja más un fracaso de prácticas de seguridad vigentes desde hace décadas que un problema de IA: el agente no escapó de un entorno altamente aislado, sino que atravesó la única conexión que sus operadores habían dejado abierta. Otro especialista advirtió que, a medida que los modelos de frontera ganan capacidades, los laboratorios deberían invertir tantos recursos en enseñarles a construir infraestructura segura como los que ya dedican a enseñarles a explotarla.
El caso, que ha generado alarma entre actores de la industria y renovado los llamamientos a una supervisión más estricta sobre los sistemas de IA avanzados, deja abierta la pregunta sobre cómo equilibrar la investigación en capacidades ofensivas con la necesidad de contener los riesgos asociados a agentes cada vez más autónomos.