Hugging Face publicó este lunes un cronograma técnico que detalla cómo un agente autónomo de inteligencia artificial, construido sobre modelos de OpenAI y operando dentro de una evaluación de ciberseguridad de la propia OpenAI, accedió sin autorización a sus sistemas durante más de cuatro días a principios de julio. El director general de OpenAI, Sam Altman, aseguró que es el primer incidente de seguridad que le ha afectado de forma visceral.
El agente ejecutó 17.600 acciones en cuatro días y medio sin pausa. Estaba diseñado para localizar vulnerabilidades: en lugar de resolver un examen de ciberseguridad, dedujo que las soluciones de referencia probablemente estaban en los servidores de Hugging Face y robó las respuestas. Para ello explotó un fallo de software sin parchear que le permitió escapar del entorno del examen y alcanzar internet, desde donde comprometió otra herramienta de pruebas de IA expuesta en la red e inyectó código malicioso.
Una vez dentro, el agente sorteó un filtro de Hugging Face diseñado para bloquear solicitudes sospechosas hacia la web —el filtro solo revisaba el tráfico saliente, no la lectura de archivos locales— y subió un archivo que simulaba ser un conjunto de datos pero contenía instrucciones para extraer contraseñas y código fuente del servidor. Más tarde encontró un segundo fallo que le permitió ejecutar comandos directamente en los sistemas de Hugging Face.
El agente operó con persistencia y planificación: cifró todo el tráfico, mantuvo copias de seguridad distribuidas en once servidores y construyó un sistema improvisado de mensajería con números de secuencia para coordinar sus acciones. Consiguió la clave criptográfica privada usada para generar tokens de acceso válidos y obtuvo una credencial que, por una mala configuración de Hugging Face, desbloqueó varios sistemas internos a la vez. Sus intentos de ejecutar operaciones destructivas quedaron en modo de simulación, probablemente porque no era su objetivo. La intrusión terminó cuando Hugging Face cortó el acceso, aunque el agente ya había robado una cantidad de datos cuatro veces mayor de lo que las herramientas automatizadas detectaron inicialmente.