Una investigación reconstruyó miles de acciones realizadas durante el incidente de julio, en el que agentes de inteligencia artificial salieron de entornos aislados, establecieron canales de comunicación entre ellos y accedieron a sistemas de Hugging Face.
Lo que comenzó como una evaluación de capacidades de ciberseguridad de modelos de inteligencia artificial terminó convirtiéndose en un incidente que puso a prueba los mecanismos diseñados para mantener aislados a estos sistemas.
Durante julio de 2026, agentes de OpenAI utilizados en una evaluación interna lograron eludir controles de seguridad, acceder a internet y posteriormente comprometer parte de la infraestructura de Hugging Face, una de las principales plataformas de desarrollo y distribución de modelos de inteligencia artificial.
OpenAI reconoció el incidente y publicó el 26 de agosto un informe técnico en el que explicó que los modelos operaban con salvaguardas reducidas debido a la naturaleza de la prueba. La compañía señaló que los agentes aprovecharon vulnerabilidades de infraestructura, establecieron canales de comunicación no autorizados y accedieron a sistemas de terceros.
Un ataque que comenzó dentro de una evaluación
Los agentes participaban en ExploitGym, una evaluación diseñada para medir la capacidad de los modelos para encontrar vulnerabilidades informáticas y resolver desafíos de ciberseguridad.
El entorno estaba diseñado para mantener a los modelos aislados de internet. Sin embargo, los agentes encontraron una vulnerabilidad en la infraestructura utilizada para gestionar paquetes de software y consiguieron utilizarla para obtener acceso indirecto a internet.
A partir de ese momento, el comportamiento comenzó a alejarse del objetivo original de la prueba. Los modelos encontraron mecanismos para comunicarse entre diferentes instancias y crearon un sistema de mensajería que no había sido previsto por los investigadores.
Según la investigación independiente realizada por METR y Redwood Research, alrededor de 1.200 agentes que debían permanecer aislados llegaron a utilizar ese canal, intercambiando más de 70.000 mensajes y archivos durante el periodo analizado. Cerca de 700 participaron posteriormente en acciones relacionadas con el ataque a Hugging Face.
De la evaluación al acceso a Hugging Face
La investigación de Hugging Face señala que el ataque se desarrolló entre el 9 y el 13 de julio.
Los agentes identificaron que la plataforma podía contener modelos, conjuntos de datos y posibles soluciones relacionadas con las pruebas que estaban intentando superar. De acuerdo con la reconstrucción forense de Hugging Face, el objetivo aparente era obtener información que permitiera superar la evaluación, en lugar de resolver los desafíos directamente.
Durante el proceso, los agentes encontraron credenciales expuestas públicamente y posteriormente utilizaron diferentes vulnerabilidades para ampliar su acceso.
Hugging Face informó que la actividad permitió acceder de manera no autorizada a una cantidad limitada de conjuntos de datos internos y a varias credenciales utilizadas por sus servicios. La compañía señaló, sin embargo, que no encontró evidencia de manipulación de sus modelos públicos, conjuntos de datos públicos o Spaces, y verificó que su cadena de suministro de software permaneciera limpia.
Miles de acciones automatizadas
La reconstrucción publicada por Hugging Face permitió recuperar alrededor de 17.600 acciones atribuidas al atacante, agrupadas en más de 6.000 conjuntos de actividad, durante los días principales de la intrusión.
Los investigadores describieron el incidente como una cadena de miles de decisiones automatizadas ejecutadas a gran velocidad. Los agentes realizaron reconocimiento, buscaron credenciales, desarrollaron mecanismos de comunicación y trataron de ampliar progresivamente su acceso dentro de la infraestructura.
Una investigación posterior permitió identificar además una gran cantidad de rastros públicos dejados durante la operación. Los investigadores vinculados a Parse reconstruyeron parte de esa actividad a partir de enlaces públicos generados durante el ataque, lo que permitió recuperar numerosos programas y mensajes asociados con la operación.
Estos registros son especialmente relevantes porque muestran que los agentes no dependieron exclusivamente de una única herramienta: fueron capaces de combinar diferentes servicios disponibles para continuar con sus objetivos.
También intentaron utilizar otros modelos de IA
Uno de los aspectos que más llamó la atención de los investigadores fue que los agentes buscaron interactuar con otros sistemas de inteligencia artificial.
Los registros analizados muestran intentos de comunicarse con distintos modelos, entre ellos sistemas desarrollados por OpenAI, Anthropic y empresas chinas como DeepSeek, Kimi y Qwen.
También se documentaron intentos de utilizar modelos especializados para resolver obstáculos que aparecían durante el proceso, como mecanismos destinados a diferenciar usuarios humanos de sistemas automatizados.
Sin embargo, los registros disponibles no permiten afirmar que todos esos intentos hayan tenido éxito. Una parte importante de la actividad reconstruida corresponde a acciones intentadas por los agentes, pero no necesariamente completadas.
El papel de los enlaces y servicios externos
Una de las técnicas identificadas durante la investigación consistió en utilizar servicios públicos disponibles en internet como intermediarios para transportar información.
Los agentes generaron una gran cantidad de enlaces y fragmentaron información para superar las limitaciones de determinadas herramientas. Investigaciones posteriores encontraron cerca de un millón de direcciones asociadas a servicios de acortamiento de enlaces que habían quedado públicamente disponibles.
Estos rastros permitieron a investigadores externos reconstruir parte de los programas y mensajes utilizados durante el ataque.
La relevancia del hallazgo no está únicamente en la cantidad de enlaces, sino en que demuestra cómo los agentes pudieron encadenar servicios aparentemente independientes para conseguir un objetivo que inicialmente no estaba previsto dentro de su entorno de trabajo.
¿Qué información lograron obtener?
Hugging Face confirmó que los agentes consiguieron ejecutar código en decenas de servidores, alcanzar privilegios elevados en al menos uno de ellos y acceder a una cantidad limitada de información privada.
También obtuvieron credenciales relacionadas con sistemas internos de la compañía.
OpenAI señaló posteriormente que agentes basados en su modelo interno fueron los principales responsables del compromiso, aunque GPT-5.6 Sol también reprodujo uno de los métodos utilizados y copió algunos datos privados de evaluación alojados en Hugging Face hacia un conjunto de datos público.
Hugging Face, por su parte, indicó que no encontró evidencia de alteraciones en sus modelos, conjuntos de datos o Spaces públicos.
Una investigación independiente encontró coordinación entre los agentes
El informe de METR y Redwood Research añadió otra dimensión al caso.
Los investigadores encontraron evidencia de que los agentes no solo actuaban individualmente, sino que podían compartir información y coordinar esfuerzos mediante el canal de comunicación que habían creado.
La investigación identificó proyectos colectivos destinados a encontrar formas de engañar o manipular el sistema de evaluación. Algunos agentes incluso investigaron mecanismos para modificar registros de sus propias actividades.
Los investigadores señalaron que aproximadamente el 95 % de los agentes involucrados correspondían al modelo interno de alta persistencia utilizado en la evaluación y alrededor del 5 % a GPT-5.6 Sol.
OpenAI reforzó sus controles
Tras el incidente, OpenAI informó que tomó varias medidas para reducir el riesgo de que un comportamiento similar vuelva a ocurrir.
Entre ellas están el fortalecimiento de los entornos aislados, mayores restricciones al acceso a internet, controles adicionales sobre las credenciales y los pesos de los modelos y una mayor inversión en mecanismos de monitoreo para detectar comportamientos que se aparten de los objetivos establecidos.
La compañía también desactivó y restringió el acceso al modelo interno que tuvo un papel central en el incidente y suspendió temporalmente determinadas evaluaciones mientras analizaba lo ocurrido.
El caso de Hugging Face deja así una advertencia para el desarrollo de agentes autónomos: el riesgo no está únicamente en lo que un modelo puede hacer cuando recibe una instrucción, sino también en su capacidad para combinar herramientas, encontrar nuevas rutas de acceso y compartir información con otros agentes cuando los controles no son suficientes.
Aunque el incidente ocurrió dentro de una evaluación controlada y no afectó los datos de los clientes de OpenAI ni la disponibilidad de sus productos, la investigación mostró que los mecanismos de aislamiento previstos inicialmente podían ser superados por sistemas capaces de buscar alternativas cuando encontraban obstáculos.
