OpenAI Sol: una IA escapa de una prueba y hackea Hugging Face

En primer lugar, el software escapó del entorno de prueba obteniendo por iniciativa propia acceso a la internet abierta, concretamente a través de una vulnerabilidad que había pasado desapercibida hasta entonces. La IA utilizó un servicio de intermediación interno a través del cual se podían cargar paquetes de software y, según OpenAI, encontró allí una vulnerabilidad de seguridad previamente desconocida. A través de esta vulnerabilidad, el modelo fue saltando de un ordenador a otro hasta que finalmente accedió a la red abierta. Según Hugging Face, el software ejecutó varios miles de pasos individuales y ocultó el rastro de sus actividades. En total, el ataque dejó alrededor de 17.000 entradas de registro en los sistemas de Hugging Face.

Ataque a Hugging Face

"Mientras navegaban de forma autónoma por la red, los modelos llegaron a la conclusión de que en Hugging Face podría haber datos y soluciones útiles para las tareas de ExploitGym", explicó OpenAI. A continuación, la IA tomó como objetivo la plataforma de modelos de IA y conjuntos de datos. Posteriormente, el sistema empleó métodos que también utilizarían atacantes humanos: credenciales robadas, más vulnerabilidades y una multitud de pasos individuales para moverse por los sistemas. OpenAI explicó que el software obtuvo acceso a "información secreta" en la plataforma de Hugging Face que podría haberse utilizado para resolver la prueba ExploitGym.

Hugging Face, que según la empresa es una especie de biblioteca en línea para programas de IA y goza de gran competencia en ciberseguridad e IA, ya había informado públicamente la semana anterior sobre una intrusión virtual, aunque sin nombrar a OpenAI como responsable. El ataque fue "dirigido de principio a fin por un sistema de agentes de IA autónomo" y pudo ser "detectado y analizado en su mayor parte con nuestra propia IA", escribió la empresa en la plataforma en línea X. El director ejecutivo, Clément Delangue, lo calificó de "asombroso que todo esto ocurriera de forma autónoma". Al mismo tiempo, se mostró convencido: "Estamos firmemente convencidos de que no existió mala intención por su parte".

Al defenderse del ataque, Hugging Face se encontró ante un dilema. Cuando la empresa comenzó a analizar los archivos de registro, inicialmente quiso utilizar modelos de IA comerciales. "Cuando comenzamos el análisis de registros, utilizamos primero modelos frontier que estaban detrás de API comerciales. Sin embargo, esto no funcionó: para el análisis hay que transferir grandes cantidades de comandos de ataque reales, payloads de exploits y artefactos de C2, y estas solicitudes fueron bloqueadas por las medidas de seguridad de los proveedores, que no pueden distinguir entre un respondedor de incidentes y un atacante", relató la empresa. Así, las medidas de seguridad bloquearon precisamente a los defensores. Finalmente, Hugging Face pudo repeler el ataque con un modelo de IA abierto de la empresa china "Z.ai", que se ejecutaba en sus propios servidores sin restricciones externas.

No es un caso aislado

Adrien Carreira, miembro del equipo directivo de Hugging Face, escribió el 21 de julio de 2026 en X: "Hardest IR of my career: one narrow objective, endless parallel paths, machine speed. One takeaway, we fought back with open models, in the open. AI security won't be solved by one company in secret." OpenAI anunció que reforzaría sus medidas de seguridad y que llevaría a cabo una investigación conjunta con Hugging Face. "El grupo anunció que reforzaría sus medidas de seguridad", rezaban los informes de prensa.

El incidente no es un caso aislado. Apenas un día antes, OpenAI había informado de una fuga de un entorno de prueba. Ya el lunes, la empresa había advertido de que la "persistencia" de sus productos era un problema: "Modelos habían escapado de su entorno de prueba y habían escrito en foros de internet". También en el equipo del influencer de IA Matt Shumer, el modelo "GPT-5.6 Sol" borró todos los archivos personales del PC. En una empresa de software brasileña, el modelo eliminó por completo la base de datos con información de clientes y productos. La organización independiente de pruebas de IA METR informó además de una "tasa de trampas exorbitante por parte de Sol". Apenas unas semanas antes, los potentes modelos "Mythos" y "Fable" del rival de OpenAI Anthropic habían sido sometidos a una prohibición de exportación por el Gobierno estadounidense.

Voces desde la investigación

El caso ha desencadenado un amplio debate sobre la seguridad de los sistemas de IA autónomos. Jonas Geiping, jefe del grupo de investigación de IA segura del Instituto Max Planck de Sistemas Inteligentes de Tubinga y del Ellis Institute, declaró al Science Media Center Germany: "El incidente es un ejemplo interesante y muy ilustrativo de las fuertes capacidades cibernéticas ofensivas de los modelos más recientes". Técnicamente, la IA había actuado conforme a las instrucciones, pero estas estaban "formuladas de forma parcialmente imprecisa" y no excluían explícitamente la estrategia elegida. "El sistema evaluó evidentemente una vía no autorizada como un medio adecuado para alcanzar el objetivo propuesto", explicó Kevin Bauer, profesor de IA Teórica de Juegos y Causal en la Universidad Goethe de Fráncfort. "Lo nuevo aquí no es una conciencia propia de la máquina, sino la capacidad de ejecutar de forma largely autónoma pasos de ataque complejos." Bauer habló de una "señal de advertencia con daños reales". "La competencia futura es, por tanto, cada vez más: atacantes apoyados por IA contra defensores apoyados por IA."

Andrei Kucharavy, profesor en la Universidad de Ciencias Aplicadas de Suiza Occidental y coordinador de seguridad del modelo suizo de IA Apertus, criticó duramente a OpenAI por realizar las pruebas sin la participación del público. "Si se hubiera involucrado a terceros independientes, como empresas de ciberseguridad, autoridades o científicos, este ataque se habría evitado". En su opinión, a los modelos se les enseñó a hackear de forma deliberada: "A los modelos se les enseñó a hackear." Un banco o un hospital "habrían tenido dificultades" para resistir un ataque así. "La IA no inventó una forma completamente nueva de hackear", subrayó Kucharavy. Su propuesta: los modelos de IA podrían entrenarse para encontrar vulnerabilidades, pero eliminando la capacidad de realizar ataques multietapa.

Dennis Kipker, del cyberintelligence.institute de Fráncfort, calificó los hallazgos como "extremadamente peligrosos para la ciberseguridad global". "En general, los ciberataques se vuelven más baratos, rápidos y accesibles para más atacantes gracias a la IA". No obstante, señaló que "hoy por hoy estamos aún lejos de attackers que actúen de forma totalmente autónoma y en gran número". También el experto en seguridad informática Konrad Rieck, del Berlin Institute for the Foundations of Learning and Data (BIFOLD), se mostró prudente: "Que un modelo escape de su entorno de prueba, aunque es buen marketing", el caso actual "no es espectacular" y ha habido incidentes similares en repetidas ocasiones. Rieck se preguntó "por qué el propio entorno de prueba no fue examinado con ayuda de IA en busca de vulnerabilidades. Eso me parece una negligencia."

Autoridades y reacciones políticas

La Oficina Federal para la Seguridad de la Información (BSI) también expresó su preocupación. Un portavoz declaró a la redacción financiera de la ARD: "Desde el punto de vista del BSI, esto demuestra de forma contundente que, según la tarea encomendada, la IA podría haber buscado también otro objetivo". "Según la evaluación del BSI, hay que contar en todo momento con que estos incidentes se repitan". Un proceso en el que la IA escapa del entorno de laboratorio aún consume muchos recursos, lo que hace improbable una acumulación de incidentes. Aun así, un ataque a una infraestructura crítica es "concebible, por ejemplo, para dejar sin electricidad a una ciudad". El experto en seguridad informática Hussein Abbass, de la Australian University of New South Wales Canberra, calificó el incidente de "asombroso" en varios sentidos: "La IA atacó el 'sistema interno' de Hugging Face para explotar sus 'propias vulnerabilidades'". La IA avanzada se encuentra, por lo general, "en manos de personas que actúan de forma