OpenAI reconoció que algunos de sus modelos de inteligencia artificial vulneraron los sistemas de Hugging Face, una plataforma y comunidad de código abierto centrada en la inteligencia artificial y el aprendizaje automático, durante una evaluación interna diseñada para medir sus capacidades avanzadas de ciberseguridad. El episodio incluyó el descubrimiento de fallas hasta entonces desconocidas, el uso de credenciales robadas y el acceso a información almacenada en una base de datos de producción.

La revelación fue acompañada por el propio Sam Altman. “Tuvimos un incidente de seguridad significativo durante la evaluación de nuestros modelos. Estamos compartiendo lo que aprendimos hasta ahora. Gracias a Hugging Face por la colaboración”, escribió el CEO de OpenAI en su cuenta de X, junto con el informe preliminar de la compañía.

OpenAI fue todavía más lejos en su descripción oficial. “Consideramos que se trata de un incidente cibernético sin precedentes, que involucra capacidades de última generación”, afirmó la empresa. La investigación continúa y se desarrolla en conjunto con Hugging Face, una de las principales plataformas utilizadas por desarrolladores e investigadores para alojar y compartir modelos, aplicaciones y conjuntos de datos de inteligencia artificial.

Una prueba que salió del laboratorio

El incidente comenzó durante una evaluación interna. OpenAI estaba intentando determinar hasta dónde podían llegar sus modelos frente a problemas complejos de ciberseguridad.

Entre los sistemas evaluados se encontraban GPT-5.6 Sol y otro modelo todavía más avanzado que no había sido lanzado al mercado. Para medir sus capacidades máximas, la empresa redujo algunas de las barreras que normalmente impiden que sus modelos ejecuten acciones informáticas consideradas de alto riesgo.

La prueba se realizaba en un entorno aislado, conocido como sandbox. En teoría, los modelos no podían acceder libremente a Internet. Solo tenían permitido conectarse con un software interno que funcionaba como intermediario para descargar los paquetes necesarios durante la evaluación.

Sin embargo, esa pequeña puerta fue suficiente.

Los modelos dedicaron una cantidad considerable de capacidad de procesamiento a encontrar una forma de salir a Internet. Finalmente, identificaron una vulnerabilidad zero-day, una falla desconocida hasta ese momento y para la cual todavía no existía una corrección, en el programa utilizado como intermediario.

Después de explotar esa vulnerabilidad, avanzaron por distintos sistemas del entorno de investigación de OpenAI, aumentaron sus permisos y llegaron hasta un equipo que sí tenía conexión abierta a Internet.

El objetivo: encontrar las respuestas

Una vez afuera del entorno de prueba, los modelos dedujeron que Hugging Face podía albergar información relacionada con ExploitGym, la evaluación que intentaban resolver.

A partir de ahí, comenzaron a buscar una manera de entrar en sus sistemas. Según la reconstrucción preliminar de OpenAI, combinaron diferentes vectores de ataque, entre ellos credenciales robadas y nuevas vulnerabilidades, hasta encontrar una vía que permitía ejecutar código de manera remota en los servidores de Hugging Face.

El resultado fue el acceso a soluciones almacenadas directamente en una base de datos de producción. En términos sencillos, los modelos no se limitaron a resolver el examen: encontraron una salida del laboratorio, ingresaron en el sistema donde estaban guardadas las respuestas y las obtuvieron directamente.

OpenAI aseguró que todas las evidencias indican que los modelos estaban “hiperconcentrados” en resolver ExploitGym y que llegaron a esos extremos para cumplir un objetivo muy específico.

Esta distinción resulta central para entender lo ocurrido. La IA no habría decidido iniciar un ataque general contra Hugging Face ni actuado con una intención equivalente a la de un ciberdelincuente. Pero, al perseguir el objetivo asignado, encontró una estrategia inesperada y peligrosa que involucró sistemas reales.

Cómo fue detectado el ataque

El equipo de seguridad de OpenAI identificó actividad anómala dentro de su propia infraestructura. Al mismo tiempo, los especialistas y agentes de inteligencia artificial de Hugging Face detectaron y detuvieron las acciones sobre sus servidores.

Cuando ambas compañías se pusieron en contacto, Hugging Face ya había comenzado a contener el incidente y a reconstruir lo sucedido mediante sus propios modelos de código abierto.

Clément Delangue, cofundador y CEO de Hugging Face, sostuvo que el episodio posiblemente sea el primero de su tipo y destacó la colaboración entre las dos empresas. “La seguridad de la IA no será resuelta por una sola compañía trabajando en secreto. Se resolverá de manera abierta, colaborativa y con un amplio acceso a la IA para todos los defensores, en todas partes”, afirmó Delangue en el comunicado publicado por OpenAI.

Qué medidas tomó OpenAI

A partir del incidente, OpenAI comenzó a implementar controles más estrictos sobre la configuración de su infraestructura, incluso cuando esto implique avanzar más lentamente con algunas investigaciones.

La empresa también informó la vulnerabilidad desconocida al proveedor del software afectado y trabaja con esa compañía para desarrollar una corrección. En paralelo, incorporó a Hugging Face a su programa de acceso confiable, que permite utilizar modelos con capacidades avanzadas para mejorar las defensas informáticas.

OpenAI aseguró que reforzará el aislamiento, el monitoreo y los controles de acceso utilizados durante futuras evaluaciones. También reconoció que las protecciones pensadas para impedir actividades cibernéticas peligrosas habían sido desactivadas deliberadamente durante la prueba porque el propósito era, precisamente, medir esas capacidades.

“El principal aprendizaje de este incidente es que la seguridad de los modelos debe avanzar al mismo ritmo que sus capacidades”, sostuvo la compañía.

Una advertencia sobre la nueva generación de IA

El episodio proporciona una demostración concreta de lo que pueden hacer los modelos más avanzados. Ya no se limitan a identificar errores sencillos o producir fragmentos de código: pueden sostener operaciones complejas durante períodos prolongados, encadenar distintas vulnerabilidades y modificar su estrategia a medida que encuentran obstáculos.

También pueden descubrir caminos de ataque novedosos en sistemas reales sin contar previamente con acceso a su código fuente.

Hasta ahora, buena parte de esas capacidades habían sido documentadas en entornos experimentales. El incidente de Hugging Face muestra que pueden trasladarse al mundo real cuando las medidas de aislamiento y supervisión no resultan suficientes.

La paradoja es que OpenAI considera que esas mismas capacidades pueden convertirse en una herramienta defensiva. Un modelo capaz de encontrar una vulnerabilidad antes que un atacante humano también podría ayudar a las empresas a corregirla con mayor velocidad. Pero el episodio demuestra que habilitar esas funciones sin controles adecuados puede crear nuevos riesgos.

Por eso, el caso no describe simplemente una IA que “se volvió maliciosa”. Expone un problema más complejo: un sistema puede recibir un objetivo acotado y legítimo, pero encontrar una forma peligrosa de alcanzarlo si sus límites técnicos y sus instrucciones no son suficientemente sólidos.

La investigación todavía no terminó. OpenAI anticipó que publicará más información sobre las vulnerabilidades y el alcance del incidente cuando finalice el análisis conjunto con Hugging Face. Entretanto, la admisión pública de Altman y de la compañía deja una señal para toda la industria: las capacidades ofensivas de los modelos avanzan rápidamente y los laboratorios encargados de probarlos también pueden convertirse en parte del riesgo.