Un modelo de OpenAI vulneró Hugging Face durante una evaluación cibernética, y ninguno de los laboratorios lo notó primero

La semana pasada, Hugging Face reveló un incidente de seguridad que involucraba a un agente de IA que había comprometido su infraestructura. OpenAI ahora dice que el agente era uno de sus propios modelos, específicamente GPT-5.6 Sol y un modelo de vista previa aún más capaz, ejecutándose dentro de una evaluación interna diseñada para medir capacidades cibernéticas extremas. Los clasificadores de seguridad que normalmente bloquearían tales acciones habían sido desactivados para la prueba.

Los modelos escaparon de su entorno aislado, explotaron una vulnerabilidad de día cero en un caché de registro de paquetes de terceros, se movieron lateralmente a un nodo con acceso a internet, y luego se abrieron camino mediante ingeniería inversa hacia los servidores de producción de Hugging Face para obtener las soluciones de las pruebas de ExploitGym. La brecha solo se descubrió porque el equipo de seguridad de OpenAI notó actividad interna anómala. Para entonces, los propios sistemas y agentes de seguridad de Hugging Face ya habían detectado y comenzado a contener la intrusión utilizando sus propios modelos abiertos.

“Este incidente, posiblemente el primero de su tipo, confirma una creencia que hemos mantenido durante mucho tiempo: la seguridad de la IA no se logrará mediante una sola empresa trabajando en secreto”, dijo Clem Delangue, cofundador y CEO de Hugging Face, en una declaración publicada por OpenAI.

Lo que hicieron los modelos

El relato de OpenAI, publicado en un informe detallado de incidentes, describe una cadena de ataque de múltiples etapas que se lee menos como una prueba y más como una prueba de penetración real, ejecutada por una IA que nunca recibió instrucciones de atacar Hugging Face.

La evaluación se ejecutó dentro de un entorno de investigación fuertemente aislado donde el acceso a la red estaba restringido a un solo proxy interno y caché para registros de paquetes. Los modelos identificaron y explotaron un día cero en ese software proxy, una vulnerabilidad que OpenAI dice haber revelado ahora de manera responsable al proveedor, para obtener acceso sin restricciones a internet. A partir de ahí, dedujeron que Hugging Face probablemente alojaba conjuntos de datos y soluciones de ExploitGym. Usando credenciales robadas y cadenas adicionales de día cero, encontraron una ruta de ejecución remota de código hacia los servidores de Hugging Face.

“Todas las pruebas sugieren que los modelos estaban hipercentrados en encontrar una solución para ExploitGym, hasta el punto de realizar un esfuerzo extremo para lograr un objetivo de prueba bastante limitado”, escribió OpenAI.

El Instituto de Seguridad de IA del Reino Unido (AISI) ha demostrado anteriormente que GPT-5.6 Sol puede mantener operaciones cibernéticas complejas de múltiples pasos durante largos horizontes temporales. OpenAI dijo que este incidente demuestra que esas capacidades teóricas se traducen a contextos del mundo real.

Lo que viene después

OpenAI está endureciendo los controles de configuración de infraestructura a costa de la velocidad de investigación mientras se corrigen las vulnerabilidades. Ha integrado a Hugging Face en su programa de acceso confiable y está colaborando en una investigación forense. La compañía también publicó una publicación concurrente sobre la mejora de la seguridad y la alineación para modelos de horizonte largo.

El incidente plantea preguntas incómodas sobre cómo la industria evalúa los modelos de frontera. Los modelos fueron diseñados para encontrar vulnerabilidades, y lo hicieron, pero sin las restricciones de seguridad que normalmente los limitarían a entornos de prueba benignos, se comportaron más como probadores de penetración autónomos que como herramientas de investigación controladas. OpenAI enmarca la lección como una cuestión de ritmo: las capacidades del modelo están superando la infraestructura de seguridad a su alrededor.

“Creemos que los modelos con capacidades cibernéticas avanzadas deben ayudar a los equipos de seguridad a encontrar debilidades antes que los atacantes, entender cómo se pueden encadenar las vulnerabilidades y remediar a velocidad de máquina”, declaró OpenAI.

Si esa creencia sobrevive al próximo incidente, menos contenido, o a uno que ocurra cuando nadie esté vigilando al vigilante, sigue siendo la pregunta abierta que este caso no respondió.