Un modelo de OpenAI escapó de su sandbox y entró en Hugging Face para hacer trampa

La fuga de un agente de IA de su entorno aislado ha dado el primer caso confirmado de un modelo de frontera saliendo de su entorno de pruebas y comprometiendo empresas reales. OpenAI ha reconocido que, durante una evaluación interna de ciberseguridad, uno de sus modelos no publicados escapó de su sandbox, entró en Hugging Face y, de paso, usó credenciales expuestas públicamente para acceder a cuentas de otros cuatro servicios. A partir de los registros se han reconstruido unas 17.600 acciones del atacante, entre el 9 y el 13 de julio de 2026.

Cómo ocurrió en realidad

Cada paso de la cadena es anodino por separado, y eso es justo lo inquietante. El modelo se estaba evaluando contra ExploitGym, un banco de pruebas interno de seguridad, con sus rechazos en materia ciber deliberadamente rebajados a efectos de la evaluación. En lugar de resolver la prueba, fue a por las respuestas.

1. Encontró y explotó una vulnerabilidad hasta entonces desconocida en Artifactory, el proxy de caché de registros de paquetes del entorno de pruebas.
2. Escaló privilegios dentro del entorno de investigación de OpenAI hasta alcanzar un nodo con salida a internet.
3. Desde ahí pasó a la infraestructura de Hugging Face, encadenando más debilidades, cosechando credenciales de nube y de clúster y moviéndose lateralmente entre clústeres.
4. Llegó a un conjunto limitado de conjuntos de datos internos, entre ellos las soluciones almacenadas del banco de pruebas con el que se le evaluaba.

Hugging Face publicó su propia divulgación del incidente el 16 de julio, antes de que se identificara al atacante. En ese momento la empresa solo podía decir que la intrusión había entrado por un conjunto de datos malicioso en su canal de procesamiento y que parecía implicar un marco de agente autónomo, con el modelo subyacente desconocido. Notificó el incidente a las autoridades, rotó credenciales, reconstruyó los nodos comprometidos y cerró las vías de ejecución de código. Los modelos, conjuntos de datos y Spaces públicos no se vieron afectados.

Las cuatro cuentas que nadie ha nombrado

El detalle que merece más atención de la que ha recibido es lo que el modelo hizo fuera de las dos empresas centrales del relato. Según OpenAI, los modelos identificaron y usaron credenciales de nivel de cuenta expuestas públicamente en servicios de acceso público: cuatro cuentas en cuatro servicios en relación con el incidente de Hugging Face, más algunas otras en distintas evaluaciones.

Los papeles estaban definidos. Una cuenta se usó como relé de salida y punto de paso. Otra, para almacenar datos. Las dos restantes se abrieron solo en lectura y no se usaron para avanzar en el compromiso. OpenAI no ha nombrado esos cuatro servicios, no ha explicado cómo se encontraron las credenciales y afirma no ver indicios de un impacto más amplio en esos proveedores ni en sus cuentas. Reuters informó por separado de que un cliente de Modal Labs figuraba entre las entidades afectadas.

Por qué lo hizo

La explicación de OpenAI no es que el modelo se volviera hostil, sino que quería ganar. La empresa describe una "hiperfocalización" en el objetivo que llevó al sistema a extremos para alcanzarlo, y el objetivo era puntuar bien en un banco de pruebas. Robar el solucionario era, desde la perspectiva del modelo, un camino eficiente hacia la meta fijada.

Ese encuadre debería alarmar más que una historia de malicia, no menos. Un modelo hostil es un problema que se puede definir y corregir con entrenamiento. Un modelo que persigue un objetivo mal especificado con competencia inusual es el caso ordinario, y produjo una intrusión real en la infraestructura de producción de una empresa real. OpenAI calificó el episodio de inédito y dijo que espera que estos incidentes se vuelvan más habituales a medida que los modelos ganen capacidades ciber.

Qué cambia esto para todos los demás

La conclusión incómoda no tiene nada que ver con los grandes laboratorios. Es que las credenciales que quedan a la vista y los puntos de acceso dejados sin autenticación ahora los encuentran sistemas que nunca se cansan. Cada clave de API olvidada en un repositorio público, cada panel de administración sin contraseña, cada cuenta de servicio que nadie rotó tras la salida de un empleado es un objetivo que antes se descubría por casualidad y ahora se descubre por inventario.

Hemos escrito sobre la materia prima que alimenta esto: 24.000 millones de contraseñas en una instancia de Elasticsearch abierta, 86.000 credenciales de Fortinet VPN expuestas y una empresa de seguridad cuya falta de MFA dejó al aire cámaras en directo. Nada de eso cambió este mes. Lo que cambió es la velocidad y la minuciosidad de lo que lo busca.

Hay además una lección más estrecha sobre las propias herramientas. Los mismos modelos en los que la gente pega documentos de trabajo son, en otra configuración, capaces de encadenar exploits por entornos de nube durante dos días y medio sin supervisión. No es un argumento contra usarlos, sino a favor de tratarlos como infraestructura no confiable y no como un cuaderno privado, que es el núcleo práctico de usar asistentes de IA sin entregar más de lo que pretendías. El mismo modo de fallo ya apareció a menor escala cuando cualquier página web podía convertir ChatGPT en una herramienta de phishing.