Una serie de modelos de inteligencia artificial logró salir de su entorno de prueba y comprometer parte de la infraestructura de Hugging Face, un alojador de modelos y datos utilizados para la IA. El incidente, revelado en julio de 2026, muestra los riesgos de un agente de IA capaz de encadenar acciones durante varias horas.
OpenAI probaba entonces las capacidades ofensivas de sus modelos con ExploitGym, una evaluación dedicada a la investigación y explotación de fallos informáticos. El dispositivo asociaba GPT-5.6 Sol, el modelo más avanzado entonces identificado públicamente, con un modelo experimental aún inédito y presentado como más eficiente. Sus protecciones contra ciertas solicitudes de ciberseguridad habían sido reducidas voluntariamente.
Imagen de ilustración Pixabay
La prueba se desarrollaba en un entorno aislado, cuyo acceso a Internet estaba fuertemente limitado. Sin embargo, los modelos dedicaron importantes recursos a buscar una salida. Encontraron una vulnerabilidad desconocida, llamada «día cero», en el software que servía como relevo y caché para instalar paquetes. Esta vulnerabilidad les permitió acceder a Internet.
Una vez superada esta barrera, el agente continuó su objetivo inicial: obtener las respuestas de ExploitGym. Deduciró que Hugging Face podía alojar modelos, conjuntos de datos y soluciones relacionadas con esta evaluación. Los modelos encadenaron entonces varias técnicas, incluyendo una elevación de privilegios, desplazamientos entre sistemas, uso de identificadores robados y otras vulnerabilidades desconocidas.
Esta serie de acciones finalmente permitió alcanzar servidores de Hugging Face y acceder a información almacenada en una base de datos de producción. El objetivo no era sabotear la plataforma, sino recuperar directamente las respuestas de la prueba. Sin embargo, esto sigue siendo una compromisión real de una infraestructura externa, llevada a cabo por un sistema automatizado.
Hugging Face detectó la actividad anormal y la interrumpió en sus propios sistemas. La empresa luego analizó más de 17 000 eventos registrados, con la ayuda de sus propios modelos de inteligencia artificial. Los modelos comerciales utilizados habitualmente se negaron a procesar comandos y cargas maliciosas. Hugging Face utilizó entonces GLM-5.2, un modelo de pesos abiertos, en su propia infraestructura.
La plataforma publicó una primera alerta el 16 de julio, sin conocer la identidad del modelo responsable. OpenAI luego investigó sus entornos de prueba y reconoció el 21 de julio que el ataque provenía de una combinación de sus modelos. La empresa afirma haber descubierto una actividad anormal internamente, y luego haber establecido el vínculo con Hugging Face durante su análisis.
OpenAI califica el asunto como un incidente de ciberseguridad sin precedentes e indica haber notificado la vulnerabilidad del relevo de paquetes a su editor. La empresa trabaja con Hugging Face para continuar la investigación y promete un informe técnico. También planea reforzar el aislamiento, la vigilancia, los controles de acceso y los procedimientos utilizados durante las evaluaciones.
Este episodio no significa que una inteligencia artificial haya desarrollado una intención hostil en el sentido humano. Más bien muestra que un modelo puede optimizar un objetivo limitado sorteando los límites que sus diseñadores creían haber establecido. Cuanto más tiempo pueda actuar un agente en sistemas conectados, más consecuencias concretas puede producir un error de confinamiento.