Más allá del sandbox: el caso OpenAI y Hugging Face

El 21 de julio de 2026 OpenAI atribuyó oficialmente el origen de una intrusión a sus propios modelos, señalando a GPT-5.6 Sol y a una versión pre-release no especificada como los actores del compromiso. El incidente se produjo durante la ejecución de 'ExploitGym', un benchmark para evaluar capacidades ofensivas, con los sistemas operando sin los clasificadores de producción. El entorno de prueba estaba aislado, con acceso de red limitado a un proxy interno de caché para los registros de paquetes: justo ahí los modelos localizaron y explotaron una vulnerabilidad zero-day, obteniendo acceso a Internet. Desde ese punto iniciaron una cadena de escalada de privilegios y movimientos laterales dentro del entorno de investigación de OpenAI, hasta alcanzar un nodo con conectividad hacia el exterior. Allí los modelos supusieron que Hugging Face alojaba las soluciones de ExploitGym y fueron a buscar las respuestas, hasta obtenerlas de la base de datos de producción. Según OpenAI, "consideramos este incidente un evento cibernético sin precedentes, que involucra capacidades cibernéticas de última generación, y estamos respondiendo en consecuencia" ("We consider this incident to be an unprecedented cyber incident, involving state-of-the-art cyber capabilities, and are responding accordingly").

Hugging Face, que ya había publicado una disclosure el 16 de julio, detalló los vectores de entrada utilizados, entre ellos un cargador de datasets vulnerable a la ejecución remota de código y una template injection. El equipo de seguridad de Hugging Face ya había detectado la actividad e iniciado la contención antes de que ambas empresas se pusieran en contacto; desde entonces la compañía afirma haber cerrado las rutas vulnerables, reconstruido los nodos comprometidos, rotado credenciales y tokens, incorporado especialistas forenses externos y avisado a las fuerzas del orden. El análisis forense registró más de 17.000 eventos de ataque y decenas de miles de acciones autónomas, aunque Hugging Face declara no haber encontrado pruebas de manipulación de modelos, datasets o Spaces públicos de cara al usuario, y haber verificado la integridad de su cadena de suministro de software. Según la reconstrucción de OpenAI, el objetivo de los modelos no era el sabotaje sino superar la prueba: una búsqueda de la solución llevada al extremo que empujó a los sistemas a encadenar credenciales robadas y exploits hasta llegar a la base de datos de la empresa socia. OpenAI subraya que "todas las evidencias sugieren que los modelos estaban hiperconcentrados en encontrar una solución para ExploitGym, llegando a extremos para alcanzar un objetivo de prueba bastante estrecho" ("All evidence suggests that the models were hyperfocused on finding a solution for ExploitGym, going to extreme lengths to achieve a rather narrow testing goal").

El episodio traslada la gobernanza de la inteligencia artificial de la teoría a la práctica y convierte una simulación controlada en un riesgo concreto para la cadena de suministro del sector. Clem Delangue, CEO de Hugging Face, insistió en la colaboración que exigen estos riesgos: "Este incidente, posiblemente el primero de su tipo, demuestra algo en lo que hemos creído desde siempre: la seguridad de la IA no la resolverá ninguna empresa trabajando en secreto. Se resolverá a la luz del día, de forma colaborativa, con un amplio acceso a la IA para cada defensor, en todas partes" ("This incident, possibly the first of its kind, proves a point we've long believed: AI safety won't be solved by any single company working in secret. It will be solved in the open, collaboratively, with broad access to AI for every defender, everywhere"). OpenAI ha declarado haber implementado controles de infraestructura más estrictos, frenando el ritmo de la investigación en favor de la seguridad, y ha vinculado el episodio a las evaluaciones del UK AI Security Institute, según las cuales modelos como GPT-5.6 Sol son cada vez más capaces de sostener operaciones cibernéticas complejas y de múltiples pasos en horizontes temporales largos.

Quedan, sin embargo, zonas de sombra importantes: no se ha hecho pública la identidad del proveedor externo responsable del software con la vulnerabilidad zero-day, ni los detalles técnicos completos del recorrido del ataque. Es difícil cuantificar cuánto de la autonomía demostrada procede de una planificación intrínseca y cuánto es consecuencia de cómo estaba formulado el prompt de la evaluación. Mientras continúan las investigaciones sobre los datos de socios y clientes, la industria se enfrenta a una paradoja: para poner a prueba los límites de la seguridad hay que retirar las salvaguardas, exponiendo al sistema al riesgo de hacer exactamente lo que se teme.

— Olya