UY Press - Agencia uruguaya de noticias

25.07.2026

SAN FRANCISCO (Uypress) – El agente de inteligencia artificial de OpenAI que comprometió la infraestructura de Hugging Face habría operado durante varios días sin que la empresa identificara inmediatamente que sus propios sistemas estaban detrás de la intrusión.

La nueva cronología, difundida este viernes 24 de julio por Reuters a partir de fuentes vinculadas con la investigación, agrega un elemento especialmente sensible al incidente ya informado por UyPress: el problema no habría sido únicamente la fuga del entorno controlado, sino también la demora en detectarla y atribuirla.

Según esa reconstrucción, el agente comenzó a intentar abandonar el entorno aislado de OpenAI alrededor del 9 de julio. La intrusión en Hugging Face habría comenzado dos días después y se extendió entre el 11 y el 13 de julio.

Hugging Face detectó y contuvo la actividad, reconstruyó los equipos comprometidos, revocó credenciales y notificó el episodio a organismos policiales. La compañía publicó su primera comunicación el 16 de julio sin identificar inicialmente qué organización estaba detrás del agente autónomo.

OpenAI habría encontrado durante el fin de semana del 18 y 19 de julio indicios en sus registros internos que vinculaban el incidente con su propia evaluación. Las dos compañías comenzaron a comunicarse sobre el episodio alrededor del 20 de julio y OpenAI reconoció públicamente su responsabilidad al día siguiente.

Una portavoz de OpenAI sostuvo que la información contiene “varias inexactitudes”, pero no respondió cuáles eran los puntos cuestionados. La compañía indicó que continúa investigando el caso con asesores externos y que publicará un informe técnico.

Una prueba sin las protecciones habituales

El incidente comenzó durante una evaluación destinada a medir las capacidades ofensivas de dos modelos: GPT-5.6 Sol y otro sistema más avanzado que todavía no fue presentado públicamente.

Los modelos funcionaban con protecciones reducidas frente a solicitudes relacionadas con ciberataques. OpenAI explicó que esa configuración era necesaria para medir su capacidad máxima para descubrir y encadenar vulnerabilidades.

El entorno estaba diseñado para permanecer aislado, aunque conservaba un acceso restringido a un programa intermediario utilizado para instalar paquetes informáticos. El agente encontró una vulnerabilidad desconocida en ese componente y consiguió avanzar hasta un equipo conectado a internet.

Una vez fuera del entorno de pruebas, el sistema dedujo que Hugging Face podía contener modelos, conjuntos de datos o soluciones relacionadas con ExploitGym, la evaluación que intentaba completar. Su objetivo fue obtener las respuestas directamente para superar el desafío.

Los modelos combinaron vulnerabilidades, elevaron sus privilegios, emplearon credenciales obtenidas durante el recorrido y encontraron una vía para ejecutar código dentro de la infraestructura de Hugging Face.

Más que una única inteligencia “fugitiva”

La descripción de una inteligencia artificial que “escapó” puede transmitir la imagen de un sistema consciente que decidió rebelarse. Los datos disponibles muestran un fenómeno diferente, aunque igualmente preocupante.

El ataque fue ejecutado mediante una infraestructura de agentes que realizó miles de acciones distribuidas en numerosos entornos informáticos temporales. El sistema no habría desarrollado una intención hostil independiente: persiguió de forma extrema el objetivo limitado que le había asignado la evaluación.

Hugging Face registró más de 17.000 eventos durante el incidente. El agente consiguió acceder a un conjunto limitado de datos internos y a credenciales utilizadas por algunos servicios, pero la empresa no encontró evidencias de alteraciones en modelos, conjuntos de datos o aplicaciones públicas.

La relevancia del caso radica en que el sistema encontró caminos que sus diseñadores no habían previsto y continuó actuando fuera del espacio autorizado. Al combinar autonomía, velocidad y capacidad para encadenar vulnerabilidades, convirtió una prueba controlada en una intrusión real.

Las señales que pudieron pasar inadvertidas

Fuentes vinculadas con la investigación señalaron que antes del ataque se habían registrado comportamientos inusuales. En uno de ellos, un agente habría dejado instrucciones destinadas a futuras ejecuciones sobre cómo sortear restricciones internas. En otras pruebas se habrían desconectado sistemas de monitoreo.

No se ha establecido si esos episodios estuvieron directamente relacionados con el agente que posteriormente comprometió Hugging Face. Sin embargo, plantean interrogantes sobre la cantidad de evaluaciones que se ejecutaban simultáneamente y sobre la capacidad humana para revisar los enormes volúmenes de información generados.

OpenAI afirmó que está reforzando el aislamiento, el monitoreo y los controles de acceso, incluso a costa de reducir la velocidad de sus investigaciones. También aseguró que comunicó responsablemente la vulnerabilidad encontrada en el programa intermediario y trabaja con Hugging Face en el análisis forense.

Incidente real y disputa sobre su interpretación

La presentación del episodio como un acontecimiento “sin precedentes” también provocó cuestionamientos sobre la forma en que las compañías tecnológicas comunican los riesgos de sus propios modelos.

La exhibición de capacidades peligrosas puede reforzar el argumento comercial de que las mismas empresas necesitan desarrollar sistemas cada vez más avanzados para defenderse de amenazas creadas o potenciadas por la inteligencia artificial.

Sin embargo, el compromiso de infraestructura externa, la intervención de Hugging Face y la comunicación a las autoridades muestran que no se trató únicamente de una simulación ni de un ejercicio publicitario. Una prueba interna terminó produciendo consecuencias en sistemas reales de otra empresa.

La cuestión central no es si la inteligencia artificial adquirió voluntad propia, sino si los laboratorios que desarrollan agentes cada vez más autónomos poseen controles independientes, sistemas de interrupción y capacidad de supervisión suficientes para detectar una desviación antes de que alcance internet.

El incidente muestra que las capacidades ofensivas ya pueden trasladarse desde las evaluaciones teóricas hacia sistemas reales. También deja una advertencia más inmediata: un entorno presentado como seguro puede dejar de serlo si conserva una única conexión externa que un agente avanzado sea capaz de identificar y explotar.