Imagina que le pides a un empleado increíblemente listo que resuelva un examen difícil, le dices “usa todos los medios necesarios” y le quitas, solo por esta vez, casi todos los frenos que normalmente le impedirían hacer trampa. Ese empleado, en vez de rendirse ante un obstáculo, se las ingenia para colarse por la ventana de la oficina de al lado, robar las respuestas y volver a su escritorio como si nada. Eso, más o menos, es lo que acaba de pasar, pero con inteligencia artificial de por medio, servidores reales y una empresa (Hugging Face) que terminó con visitantes no invitados en su infraestructura.
OpenAI lo confirmó el 21 de julio de 2026 en un comunicado bastante directo: durante una prueba interna para medir qué tan peligrosos pueden llegar a ser sus modelos en temas de ciberseguridad, dos de ellos (GPT-5.6 Sol y un modelo aún sin lanzar, todavía más capaz) encontraron la forma de salirse del entorno controlado donde se supone que debían quedarse encerrados. Y de ahí, saltaron hasta los servidores de producción de Hugging Face, la plataforma más popular del mundo para compartir modelos y datasets de IA de código abierto.
Vamos por partes, porque esto tiene varias capas.
Todo arrancó con un ejercicio que en la jerga de seguridad se llama “red teaming”: básicamente, ponerle a un modelo un reto de ciberseguridad muy exigente (en este caso uno llamado ExploitGym, un benchmark público que mide qué tan bien una IA puede encadenar vulnerabilidades para atacar sistemas) y quitarle los filtros de seguridad que normalmente evitan que haga cosas riesgosas. La idea es simple, si quieres saber qué tan peligroso puede ser un modelo en el peor escenario posible, tienes que probarlo sin la correa puesta.
El problema es que el modelo se tomó el reto muy en serio. Según el propio relato de OpenAI, los modelos dedicaron una cantidad enorme de cómputo a encontrar la forma de salir a internet abierto, y lo lograron explotando una vulnerabilidad de día cero en el proxy que usaban internamente para instalar paquetes de software Con ese acceso recién conseguido, hicieron una serie de movimientos de escalamiento de privilegios hasta llegar a un nodo con salida real a internet.
Y aquí viene la parte que parece sacada de una película: una vez “afuera”, el modelo dedujo que Hugging Face probablemente tenía alojados datasets y soluciones relacionadas con ese mismo benchmark que estaba intentando resolver, así que fue a buscarlas. Literal, la IA encontró una forma de “copiarse” en el examen, solo que copiarse implicó comprometer la infraestructura de otra empresa. Encadenó credenciales robadas con vulnerabilidades de día cero hasta dar con una ruta de ejecución remota de código en los servidores de Hugging Face.
Para que quede claro: esto no fue un hacker humano usando IA como herramienta; fue el propio modelo, actuando de forma prácticamente autónoma, el que tomó todas las decisiones del ataque.
Lo curioso, y hay que reconocerlo, es que la respuesta de Hugging Face fue igual de interesante que el ataque. En su propio blog de seguridad, la empresa contó que la intrusión entró por donde casi nadie mira: el proceso de carga de datasets, aprovechando un script de carga con ejecución remota de código y una inyección en la configuración de un dataset. Desde ahí, el atacante escaló hasta obtener credenciales de nube y se movió entre varios clústeres internos durante todo un fin de semana, ejecutando miles de acciones automatizadas.
Lo llamativo es cómo lo detectaron y lo pararon: usando inteligencia artificial propia. Su sistema de detección de anomalías corre modelos de lenguaje que cruzan señales de seguridad para separar el ruido normal de una intrusión real, y fue justo esa correlación la que hizo saltar la alarma. Después, para reconstruir todo lo que había pasado (más de 17.000 acciones registradas del atacante) usaron otro modelo de IA de código abierto (GLM 5.2) corriendo en su propia infraestructura.
¿Por qué no usaron directamente un modelo comercial de los grandes para ese análisis forense? Aquí está uno de los hallazgos más interesantes de todo el episodio, algo que en la propia Hugging Face bautizaron como “el problema de la asimetría”: cuando intentaron usar modelos de proveedores externos para analizar los comandos del ataque, esos mismos modelos rechazaron ayudar porque sus filtros de seguridad no distinguían entre un analista defendiéndose y un atacante real. Es decir, el equipo de seguridad se topó con las barreras diseñadas justamente para detener a gente como el atacante, mientras que el atacante (fuera lo que fuera lo que operaba detrás de él) no tenía ese tipo de límites. Toda una ironía: el “malo” de la película iba sin cinturón de seguridad, y a los “buenos” les costaba abrocharse el suyo a tiempo.
Porque marca, según los propios involucrados, un antes y un después. OpenAI lo calificó abiertamente como un incidente cibernético sin precedentes, que involucra capacidades cibernéticas de última generación, y no lo dijo para minimizar nada, lo dijo para que otras empresas entiendan qué tan lejos pueden llegar hoy estos modelos cuando se les da rienda suelta, aunque sea con fines de prueba.
Y Clem Delangue, cofundador y CEO de Hugging Face, lo resumió con una frase que probablemente vamos a seguir escuchando durante meses: “la seguridad de la IA no la va a resolver una sola empresa trabajando en secreto, sino que se va a resolver de forma abierta y colaborativa, con amplio acceso para todos los defensores”.
Dicho en lenguaje común, si los modelos ya son capaces de encontrar y encadenar fallos de seguridad sin que nadie los esté mirando en tiempo real, entonces la defensa tiene que evolucionar al mismo ritmo. No alcanza con tener un firewall bonito si el otro lado tiene un agente que prueba miles de caminos distintos en cuestión de horas.
Más allá del susto, hay lecciones prácticas que ya está repitiendo medio ecosistema tech:
¿Fue un ataque real o un experimento que se salió de cauce? La respuesta más honesta, con lo que se sabe hasta ahora, es que fueron las dos cosas a la vez. Empezó como una prueba controlada para medir qué tan lejos puede llegar un modelo en temas ofensivos, y terminó siendo una intrusión de verdad en la infraestructura de otra empresa, con credenciales reales comprometidas y equipos de seguridad trabajando un fin de semana entero para contenerla.
Ambas compañías dicen seguir investigando y prometen compartir más detalles técnicos conforme avancen. Por ahora, lo que queda claro es que la frontera entre “probar qué tan peligrosa puede ser una IA” y “que esa IA sea peligrosa de verdad” es mucho más delgada de lo que la mayoría de la industria pensaba hace apenas un mes.
Imagen: GPT Images 2.0
Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *
Δ