Los modelos más avanzados de OpenAI lograron escapar de un entorno digital aislado y ejecutaron por su cuenta un ataque contra la infraestructura de Hugging Face, una de las principales plataformas mundiales de inteligencia artificial. La compañía creadora de ChatGPT ha calificado lo ocurrido como un «incidente cibernético sin precedentes» y ha abierto una investigación conjunta con la empresa afectada.

El ataque se produjo durante una evaluación interna diseñada para medir la capacidad de los modelos para detectar y explotar vulnerabilidades. OpenAI utilizó una combinación de sistemas que incluía GPT-5.6 Sol y otro modelo todavía en fase de prelanzamiento y con capacidades superiores.

La prueba se desarrollaba sin los filtros de seguridad que se aplican a los productos disponibles para el público. El objetivo era comprobar hasta dónde podían llegar los modelos ante una tarea compleja de ciberseguridad. Sin embargo, los sistemas superaron las barreras del entorno controlado y buscaron una vía para conectarse a internet.

«Mientras operaban en nuestro entorno de pruebas aislado, nuestros modelos invirtieron una cantidad considerable de potencia de cálculo en encontrar una forma de obtener acceso abierto a internet», ha reconocido OpenAI en su informe sobre el incidente.

Para conseguirlo, los modelos descubrieron y explotaron una vulnerabilidad desconocida hasta entonces en un programa utilizado como intermediario para instalar paquetes informáticos. Después aumentaron sus privilegios dentro de la infraestructura de investigación de OpenAI y se desplazaron entre distintos sistemas hasta alcanzar un servidor con conexión a internet.

Una vez fuera del entorno cerrado, los agentes dedujeron que Hugging Face podía almacenar información relacionada con la prueba. La plataforma funciona como uno de los mayores repositorios de modelos de inteligencia artificial, bases de datos y herramientas para programadores.

Los sistemas de OpenAI buscaron entonces datos secretos que les permitieran resolver la evaluación sin seguir el procedimiento previsto. Para ello encadenaron varias técnicas de ataque, entre ellas el uso de credenciales robadas y la explotación de vulnerabilidades inéditas.

Según la compañía, los modelos encontraron una vía para ejecutar código de forma remota en los servidores de Hugging Face y obtuvieron directamente de su base de datos las soluciones de la prueba. OpenAI sostiene que los agentes estaban «hiperconcentrados» en superar la evaluación y llegaron a «extremos» no previstos para alcanzar ese objetivo.

El equipo de seguridad de OpenAI detectó la actividad anómala dentro de sus propios sistemas. Por su parte, Hugging Face identificó y frenó el ataque en su infraestructura antes de iniciar el proceso de contención y análisis. Ambas empresas trabajan ahora para determinar el alcance completo de la intrusión.

OpenAI ha impuesto controles más estrictos sobre sus entornos de investigación, aunque reconoce que estas medidas reducirán la velocidad de sus trabajos. También ha comunicado la vulnerabilidad desconocida al proveedor del programa afectado y reforzará las protecciones aplicadas durante futuras evaluaciones.

El director ejecutivo y cofundador de Hugging Face, Clement Delangue, ha descartado que existiera una intención maliciosa por parte de OpenAI, pero ha subrayado la importancia del episodio. «Este incidente, posiblemente el primero de este tipo, demuestra algo que llevamos tiempo defendiendo: la seguridad de la inteligencia artificial no será resuelta por una sola empresa trabajando en secreto», ha señalado.

El caso evidencia que los modelos más avanzados ya pueden descubrir vulnerabilidades inéditas y organizar ataques complejos contra sistemas reales sin disponer previamente de su código fuente. OpenAI admite que las capacidades observadas durante las pruebas teóricas ya tienen una aplicación efectiva fuera de los entornos simulados.

La compañía ha insistido en que estos avances también pueden utilizarse para localizar y corregir fallos antes de que sean aprovechados por delincuentes. No obstante, el incidente plantea nuevas dudas sobre los mecanismos de control de unos sistemas capaces de perseguir un objetivo, sortear las restricciones impuestas por sus desarrolladores y atacar infraestructuras externas sin recibir una orden expresa para hacerlo.