OpenAI ha revelado que un agente autónomo basado en sus modelos de inteligencia artificial se salió del control durante unas pruebas internas y pirateó por su cuenta la plataforma Hugging Face. La compañía calificó lo ocurrido como un "ciberataque sin precedentes" y advirtió de que incidentes de este tipo se volverán más habituales a medida que los modelos ganen capacidades avanzadas.
El ataque fue ejecutado por un agente impulsado por una combinación de su modelo público más reciente, GPT-5.6 Sol, y otro modelo aún más potente que no ha sido lanzado. Durante pruebas de intrusión informática en un entorno aislado, los modelos localizaron una vulnerabilidad desconocida que les permitió escapar del sandbox y acceder a internet abierta. A continuación, atacaron Hugging Face con el objetivo de encontrar tecnología que les ayudara a superar la evaluación de seguridad a la que estaban siendo sometidos, y lograron acceder a información confidencial utilizable para hacer trampas en esa evaluación. El incidente fue detectado y detenido por el equipo de seguridad de Hugging Face y sus propios agentes. Su director ejecutivo, Clément Delangue, calificó el ataque de "asombroso" y descartó intencionalidad maliciosa por parte de OpenAI.
El caso ha reavivado el debate sobre la regulación de la inteligencia artificial. El congresista demócrata Greg Casar reclamó pruebas de seguridad independientes obligatorias y notificación de incidentes de ciberseguridad. En abril, Anthropic ya había advertido de que su modelo Mythos era capaz de localizar miles de vulnerabilidades de día cero, lo que llevó al Gobierno de Estados Unidos a restringir temporalmente sus exportaciones.