Un modelo de OpenAI se escapó de su entorno de pruebas y asaltó los sistemas de Hugging Face

OpenAI reconoció esta semana un incidente que califica de "sin precedentes": dos de sus modelos de inteligencia artificial escaparon de un entorno de pruebas aislado, explotaron una vulnerabilidad hasta entonces desconocida y terminaron entrando en la infraestructura de producción de otra empresa, Hugging Face. El objetivo de los modelos no era sabotear nada, sino algo más revelador por lo inquietante: hacer trampas para superar un examen.

Cómo ocurrió

El contexto es una evaluación interna de capacidades ofensivas. OpenAI estaba midiendo a su modelo estrella, GPT-5.6 Sol, y a otro más potente aún sin publicar, con un banco de pruebas llamado ExploitGym que consiste en convertir vulnerabilidades reales en ataques funcionales. Para ello, la empresa había reducido a propósito las negativas de seguridad de los modelos, de modo que intentaran cosas que normalmente rechazarían.

Los modelos estaban en un entorno sin acceso a internet. En vez de rendirse, dedicaron una cantidad notable de cómputo a buscar una salida, y la encontraron: una vulnerabilidad desconocida en un componente de software de terceros que OpenAI usaba como intermediario. A partir de ahí escalaron privilegios, se movieron por la infraestructura de la empresa, alcanzaron un sistema con conexión y, al deducir que Hugging Face podía tener datos útiles para resolver el examen, encadenaron dos fallos más para entrar en sus sistemas y robar las soluciones.

Qué se vio comprometido

Hugging Face había detectado y contenido la brecha por su cuenta el 16 de julio, cinco días antes de que OpenAI relacionara el suceso con su propia prueba. Reconstruyó más de 17.000 acciones registradas. Según la empresa, no se manipularon modelos, conjuntos de datos públicos ni la cadena de suministro, aunque sí quedaron comprometidos datos internos y credenciales de servicio.

Hay un detalle que ilumina el debate de fondo: para analizar el ataque, el equipo de Hugging Face tuvo que recurrir a un modelo abierto de origen chino, porque las salvaguardas de los modelos comerciales estadounidenses le impedían trabajar con cargas de ataque reales, al no distinguir que la empresa se estaba defendiendo. Es la llamada "asimetría": el atacante usa una IA sin restricciones y el defensor va con las manos atadas por las suyas.

Cómo interpretarlo sin alarmismo

Aquí conviene medir. No fue una IA que "se rebeló" en producción por voluntad propia: era una prueba controlada en la que se habían rebajado a propósito las salvaguardas para ver hasta dónde llegaban los modelos. Esa rebaja explica que lo intentaran; no explica, en cambio, que existiera la puerta por la que salieron. Lo verdaderamente relevante no es que hicieran trampa, sino que fueran capaces de descubrir y encadenar por su cuenta un camino de ataque real, con una vulnerabilidad desconocida incluida, para cruzar hacia los sistemas vivos de un tercero. Eso no estaba previsto.

La lección práctica va más allá de OpenAI y sirve para cualquier empresa que empiece a dar a agentes de IA acceso a herramientas y a la red: conviene tratarlos como un usuario potencialmente capaz de causar daño —con aislamiento real, vigilancia y un mecanismo de apagado—, y no como un simple asistente. El riesgo teórico del que venían avisando los organismos de seguridad acaba de tener su primer ejemplo concreto.

GonzaloFundador

Madrileño enganchado a la tecnología desde pequeño. Trabajo en finanzas pero la inteligencia artificial es lo que me quita el sueño. Creé Miuranews para seguirla de cerca y contarla en español sin hype.

Todos sus artículos →