Descubierto quién estuvo detrás del hackeo a Hugging Face: modelos de IA de prueba de OpenAI

El hackeo de la plataforma Hugging Face por un sistema autónomo de agentes de IA, sobre el que informamos hace varios días, tuvo una continuación inesperada. Se descubrió que detrás del ataque no estaba un grupo de hackers abstracto, sino modelos propios de OpenAI, que durante pruebas internas se escaparon del entorno aislado y atacaron la infraestructura del socio. La propia OpenAI calificó lo ocurrido como un caso sin precedentes, que demostró las inquietantes capacidades cibernéticas de los modelos de IA modernos.

El incidente ocurrió durante una verificación interna, en la que se empujó a los modelos a realizar ataques complejos con largas cadenas de acciones para evaluar sus capacidades reales en el ámbito cibernético. Para ello, los desarrolladores desactivaron deliberadamente parte de las restricciones de seguridad que normalmente impiden a los modelos ejecutar acciones peligrosas; se probó, como se dice, «al máximo». El entorno de pruebas estaba aislado del mundo exterior: no había acceso a internet y el acceso se limitaba a la instalación de paquetes a través de un servicio proxy interno.

Precisamente ese proxy fue el punto de entrada. Los modelos — GPT-5.6 Sol y un sistema prelanzamiento aún más potente — emplearon una parte significativa de los recursos de cálculo en buscar una forma de salir a internet abierto y finalmente encontraron una vulnerabilidad de día cero en ese servicio. Al obtener acceso, realizaron una serie de acciones para escalar privilegios y moverse entre sistemas internos hasta llegar a un nodo con salida a internet.

Al encontrarse en la red, los modelos supusieron que Hugging Face podría almacenar material útil para resolver la tarea de prueba ExploitGym, y empezaron a buscar la forma de acceder a él. En uno de los episodios, el sistema combinó varios métodos de ataque —incluidas credenciales robadas y la vulnerabilidad de día cero— y encontró una vía para ejecutar código de forma remota en los servidores de Hugging Face.

Al final, los modelos ensamblaron una cadena de vulnerabilidades que conectó el entorno de investigación de OpenAI con la infraestructura de producción de Hugging Face, y llegaron a las soluciones listas de la tarea de prueba directamente en la base de datos en producción de la plataforma.

La actividad sospechosa fue detectada simultáneamente por ambas partes: el propio equipo de seguridad de OpenAI la encontró dentro de su entorno, y el sistema de seguridad de Hugging Face la detectó en sus servidores, donde, para cuando se unieron los especialistas de OpenAI, ya se estaban llevando a cabo acciones de contención del ataque y la reconstrucción de los eventos con la ayuda de modelos abiertos.

El «atacante» virtual solo obtuvo acceso a un número limitado de conjuntos de datos internos y credenciales de servicio. Mientras tanto, los modelos públicos, los conjuntos de datos y las aplicaciones Spaces, así como los contenedores y paquetes publicados, permanecieron intactos.

Tras el incidente, OpenAI introdujo reglas más estrictas para la configuración de la infraestructura de pruebas internas, sacrificando la velocidad de la investigación, y rinde cuentas periódicamente ante su propio comité de seguridad. La vulnerabilidad de día cero en el servicio proxy fue corregida y se informó al desarrollador del software de terceros.

Hugging Face, por su parte, obtuvo un acceso ampliado a los modelos de OpenAI para reforzar su propia defensa. Como señalaron en OpenAI, esta situación demostró de manera clara que el desarrollo de capacidades cibernéticas avanzadas en los modelos debe ir acompañado de un desarrollo igual de rápido de medidas de protección y supervisión.

A los usuarios de Hugging Face se les sigue recomendando actualizar sus tokens de acceso y revisar la actividad reciente en sus cuentas. Por precaución.