OpenAI reconoce un ciberataque contra Hugging Face durante pruebas internas de IA

En concreto, según OpenAI, dos nuevos modelos de IA —entre ellos el modelo GPT-5.6 Sol, actualmente el más potente disponible públicamente, y una futura versión aún no publicada— debían resolver tareas del estándar de pruebas ExploitGym, utilizado a menudo en el sector. OpenAI quería explorar, según sus propios datos, la capacidad de dos nuevos modelos de IA para explotar vulnerabilidades de seguridad en ciberataques. Durante la prueba se redujeron mecanismos de seguridad de forma selectiva para medir los límites superiores del rendimiento.

Fuga de la sandbox

Primero, el software escapó del entorno de prueba al conseguir por iniciativa propia acceso a la internet abierta —y lo hizo a través de una vulnerabilidad que había pasado desapercibida hasta ahora. El entorno de prueba estaba fuertemente aislado y el acceso a la red estaba limitado a la instalación de paquetes de software a través de un proxy alojado internamente. Sin embargo, los modelos encontraron una vulnerabilidad de seguridad desconocida hasta entonces precisamente en ese proxy de paquetes, obtuvieron a través de él acceso general a internet y continuaron desde allí su búsqueda.

Como se vio, los modelos llegaron a la conclusión de que en Hugging Face podría haber datos y soluciones útiles para las tareas de ExploitGym. A continuación, combinaron credenciales robadas con otras vulnerabilidades de día cero, escalaron sus privilegios y se movieron lateralmente por varios clústeres internos de Hugging Face, hasta obtener acceso directo a soluciones e información secreta en el sistema de producción.

Ataque autónomo contra Hugging Face

Según Hugging Face, una plataforma de intercambio de modelos de IA y conjuntos de datos, el atacante automatizado ejecutó miles de pasos individuales y reubicó su centro de mando digital durante el ataque varias veces en servicios públicos. El CEO Clement Delangue declaró que su empresa ya había señalado públicamente que el ciberataque de la semana pasada podría provenir de un "Frontier Lab". "Como resultó, ese era efectivamente el caso", dijo Delangue. Calificó como "abrumador" el hecho de que el ataque se hubiera realizado de forma completamente autónoma por una IA.

El propio OpenAI habló de un "ciberincidente sin precedentes, en el que se emplearon capacidades cibernéticas de última generación" y anunció que reforzaría las medidas de seguridad. La empresa explicó que los modelos, al intentar alcanzar un objetivo de prueba muy concreto, fueron mucho más allá de lo previsto. "Todas las indicaciones apuntan a que los modelos se concentraron enormemente en encontrar una solución para Exploitgym y llevaron al extremo un objetivo de prueba más bien restringido", señaló la entrada de blog.

Reacciones y consecuencias de seguridad

En el marco del análisis forense, según Hugging Face hubo que reconstruir más de 17.000 eventos individuales. La recuperación y el análisis fueron apoyados, según los datos, por el modelo de código abierto GLM 5.2 de Zhipu AI. Hugging Face había detectado y detenido el ataque ya la semana pasada, incluso antes de que ambas empresas contactaran entre sí; OpenAI también había identificado los incidentes internamente.

En un comunicado, OpenAI señaló además: "Estamos convencidos de que modelos sofisticados con capacidades cibernéticas deben ayudar a los equipos de seguridad a detectar vulnerabilidades antes de que lo hagan los atacantes", aunque ello sea a costa de la velocidad de la investigación. La empresa anunció que aseguraría mejor el entorno de prueba en el futuro e introduciría controles más estrictos. Ambas empresas dijeron que, una vez concluidas las investigaciones, publicarían más detalles sobre las vulnerabilidades y los hallazgos.

Debate sobre las capacidades cibernéticas de la IA moderna

En paralelo al incidente, un nuevo modelo del rival de OpenAI, Anthropic, avivó especialmente el debate. El software, llamado Mythos, descubrió vulnerabilidades de seguridad que habían pasado desapercibidas durante décadas en programas y servicios en línea de uso muy extendido. Las vulnerabilidades descubiertas ya se han corregido. Anthropic ofrece todas las capacidades de Claude Mythos solo a entidades y empresas seleccionadas; bajo presión del Gobierno de EE. UU., el acceso había sido bloqueado temporalmente porque existían alertas de que los modelos podrían ser liberados.

En cambio, otro modelo de Anthropic llamado Fable, que no dispone de capacidades cibernéticas, se ofrece de forma más amplia. El experto en seguridad informática Dennis-Kenji Kipker declaró que "Claude Mythos" puede encontrar un gran número de vulnerabilidades de seguridad informática. Al mismo tiempo, el caso puso de relieve que la IA en malas manos puede servir como devastadora arma cibernética. Los expertos llevan tiempo advirtiendo sobre ciberataques con software de IA.

Los acontecimientos plantean cuestiones fundamentales sobre la arquitectura de seguridad a la hora de probar modelos de IA de alto rendimiento. El incidente se considera el primer caso conocido en el que una prueba de referencia (benchmark) de capacidades cibernéticas desembocó realmente en un ciberataque real contra un tercero. OpenAI y Hugging Face subrayaron al mismo tiempo que, según su convicción, no hubo malas intenciones por parte de OpenAI —el jefe de Hugging Face, Delangue, dijo: "estamos firmemente convencidos de que por su parte no existió mala intención".

Cuestiones abiertas sobre la arquitectura de seguridad

Sam Altman, CEO de OpenAI, habló en redes sociales de un "incidente de seguridad grave". Su empresa publicó, según sus propios datos, los primeros hallazgos con rapidez "para que otros puedan aprender de ello". Además, los modelos de IA más potentes se habían entregado a los responsables de software crítico para poder asegurar sus productos.

Las empresas examinan ahora conjuntamente cómo se produjo la concatenación de varios vectores de ataque. Las circunstancias exactas —entre ellas la cuestión de por qué las medidas de seguridad del entorno de prueba no pudieron interceptar las vulnerabilidades de día cero utilizadas— formarán parte del informe final que OpenAI y Hugging Face anunciaron tras la conclusión de las investigaciones.