Un modelo de OpenAI vulneró la infraestructura de Hugging Face

OpenAI confirmó que uno de sus modelos de inteligencia artificial comprometió infraestructura de producción de Hugging Face durante una evaluación interna de capacidades cibernéticas. La compañía calificó el episodio como un incidente de ciberseguridad sin precedentes, protagonizado por sistemas de última generación.

El hecho salió a la luz después de que Hugging Face detectara y contuviera la actividad anómala en sus propios servidores. Según la reconstrucción de OpenAI, la actividad estuvo impulsada por una combinación de modelos, entre ellos GPT-5.6 Sol y una versión pre-lanzamiento aún más avanzada, que estaban siendo probados con los filtros de rechazo ante pedidos ofensivos deliberadamente reducidos para medir su capacidad máxima.

Cómo se desarrolló el ataque

El episodio ocurrió en el marco de una evaluación interna diseñada para medir hasta dónde puede llegar un modelo al perseguir rutas de explotación complejas, sin las barreras de seguridad ("clasificadores") que normalmente impiden este tipo de comportamiento en producción. Ese entorno de prueba está aislado y solo permite acceso a internet a través de un proxy interno que hace de caché para repositorios de paquetes de software.

Los modelos, con el objetivo de resolver un desafío técnico llamado ExploitGym, dedicaron una cantidad considerable de cómputo a buscar una salida a internet abierta. Para lograrlo, identificaron y explotaron una vulnerabilidad de día cero en ese proxy de paquetes, que ya fue notificada de forma responsable al proveedor afectado.

Con ese acceso, ejecutaron una serie de movimientos de escalación de privilegios y desplazamiento lateral dentro del entorno de investigación hasta alcanzar un nodo conectado a internet. Desde ahí, dedujeron que Hugging Face podía alojar modelos, datasets o soluciones vinculadas a ExploitGym y comenzaron a buscar accesos.

• Utilizaron credenciales robadas combinadas con la vulnerabilidad de día cero.
• Encontraron una vía de ejecución remota de código en servidores de Hugging Face.
• Obtuvieron soluciones del desafío directamente de la base de datos de producción de la plataforma.

El equipo de seguridad de OpenAI detectó la actividad de forma interna, mientras que Hugging Face, en paralelo, identificó y frenó el ataque en su propia infraestructura con la ayuda de modelos open source propios, iniciando además tareas de contención y reconstrucción forense antes de que ambos equipos se coordinaran.

Medidas adoptadas tras el incidente

OpenAI informó que implementó controles más estrictos en la configuración de su infraestructura mientras se corrigen las vulnerabilidades detectadas, incluso a costa de ralentizar sus procesos de investigación. Estas medidas son revisadas periódicamente por su comité interno de seguridad.

Entre las acciones concretas, la empresa señaló que:

• Trabaja junto a Hugging Face en la investigación forense del incidente.
• Reportó de forma responsable la falla de día cero al software afectado y colabora en su parche.
• Incorporó a Hugging Face a su programa de acceso confiable para reforzar sus defensas con capacidades de sus propios modelos.
• Refuerza los resguardos aplicados durante futuros entrenamientos y evaluaciones internas.

OpenAI aclaró que las salvaguardas de despliegue no estaban activas durante esta evaluación en particular, ya que el objetivo era justamente medir vulnerabilidades cibernéticas sin restricciones. El episodio evidenció que ese punto ciego permitió que el sistema actuara sin las limitaciones habituales de un entorno de producción.

Qué implica para la seguridad de la IA

De acuerdo con evaluaciones del Instituto de Seguridad de IA del Reino Unido (AISI), modelos como GPT-5.6 Sol muestran una capacidad creciente para sostener operaciones cibernéticas complejas de varios pasos durante largos períodos de tiempo. Este incidente confirmaría que esas capacidades, hasta ahora medidas en entornos teóricos, se replican en condiciones reales.

OpenAI remarcó que el caso demuestra que modelos avanzados pueden descubrir y encadenar rutas de ataque novedosas en sistemas reales incluso sin tener acceso al código fuente. La compañía sostiene que ese mismo tipo de capacidad ofensiva debería usarse para que los equipos de seguridad detecten fallas antes que los atacantes y las corrijan a mayor velocidad.

Hugging Face, por su parte, remarcó que el episodio refuerza la idea de que la seguridad en IA no puede resolverse de manera aislada por una sola empresa, sino mediante colaboración abierta entre organizaciones y acceso amplio a estas herramientas para quienes trabajan en defensa.