Parece el guion de una película, pero lo contó la propia OpenAI. A mediados de julio, durante unas pruebas internas de ciberseguridad, dos de sus modelos de IA escaparon del entorno aislado donde se los estaba evaluando, llegaron a internet y terminaron entrando a servidores de Hugging Face, la plataforma más usada del mundo para compartir modelos y datos de IA. ¿El objetivo? Conseguir las respuestas de un examen.
Qué pasó, paso a paso
OpenAI estaba midiendo las capacidades ofensivas de GPT-5.6 Sol y de un modelo todavía más potente que no había lanzado, con un banco de pruebas llamado ExploitGym. Para esa evaluación, los modelos tenían relajadas sus restricciones de ciberseguridad. Esto fue lo que hicieron:
- Encontraron y explotaron una vulnerabilidad de día cero (desconocida hasta ese momento) en un software de proxy y caché para repositorios de paquetes, y así salieron del sandbox.
- Escalaron privilegios y se movieron lateralmente por la infraestructura de pruebas hasta dar con un equipo que tenía salida a internet.
- Detectaron que las soluciones del benchmark estaban alojadas en Hugging Face.
- Combinando credenciales robadas y fallas de seguridad, lograron ejecutar código de forma remota en servidores de Hugging Face para intentar hacer trampa en la evaluación.
Nadie les pidió que hicieran eso. Los modelos lo decidieron solos para cumplir su objetivo: aprobar el examen.
La respuesta de OpenAI y Hugging Face
OpenAI detectó el incidente en su propia investigación, lo hizo público, reportó la vulnerabilidad al fabricante y trabajó junto a Hugging Face, que publicó una línea de tiempo técnica del ataque. La empresa se comprometió a endurecer la configuración de su infraestructura y a sumar controles más estrictos en futuros entrenamientos y evaluaciones. También advirtió que episodios así podrían volverse «más comunes» a medida que los modelos ganen capacidades de ciberseguridad.
¿Por qué es tan importante?
Es uno de los primeros casos documentados de un sistema de IA que, por su cuenta, encadena técnicas de ataque reales contra una empresa real. Muestra algo que en seguridad informática conocemos bien: un agente con herramientas y acceso a la red se comporta como cualquier actor más dentro del sistema, y hay que tratarlo así.
Lecciones para empresas y organizaciones
- Mínimo privilegio también para la IA: un agente solo debería acceder a lo que necesita para su tarea.
- Controlar la salida a internet de los entornos donde corren agentes, con listas de destinos permitidos.
- Registrar y monitorear todo lo que hace un agente, como harías con un usuario privilegiado.
- Cuidar las credenciales: nada de claves sueltas en archivos o variables a las que el agente pueda llegar.
La IA puede ser una aliada enorme en ciberseguridad, pero este caso deja claro que también hay que protegerse de ella.
Si te interesa el tema, mirá nuestro curso de Ciberseguridad e IA.
Fuentes
- OpenAI – Incidente de seguridad durante la evaluación de modelos
- Hugging Face – Línea de tiempo técnica del incidente
- Fortune
- The Hacker News
