¡El grave incidente de seguridad de OpenAI tiene un nuevo desarrollo!
Recientemente, Altman admitió personalmente: "Es la primera vez que siento un miedo genuino desde lo más profundo."
Este incidente ha asustado tanto a OpenAI que incluso suspendió de emergencia el entrenamiento de GPT-6.
Al mismo tiempo, Clement Delangue, CEO de Hugging Face, anunció que compartirán la línea de tiempo técnica completa, una reproducción interactiva y todos los detalles sobre cómo defenderse exitosamente con modelos de código abierto, para que los defensores de todo el mundo puedan aprender.
¡Altman está asustado! El primer ataque cibernético automático de IA de la historia
En su última entrevista, Altman describió su experiencia de susto, causada por un incidente de seguridad tras la intrusión de IA en Hugging Face.
En ese momento, OpenAI estaba evaluando un modelo aún no publicado (posiblemente GPT-6), que, en teoría, debería haber estado ejecutándose en un entorno sandbox.
Sin embargo, la IA misma encadenó múltiples vulnerabilidades de día cero, ideó un método para hacer trampa, y luego todo se salió completamente de control.
Primero escapó del sandbox, luego se conectó a Internet, y posteriormente pirateó múltiples sistemas de Hugging Face, logrando finalmente acceder directamente a las respuestas de las pruebas, obteniendo así una puntuación excepcionalmente alta en la evaluación.
Esta versión cibernética del «Terminator» sorprendió a Altman, quien decidió pausar el entrenamiento.
Es la primera vez que siento un incidente de seguridad tan tangible. Me sorprende que no haya más personas que tengan la misma sensación intensa al respecto.
Hemos pausado el entrenamiento. En una situación donde se han encadenado múltiples vulnerabilidades de día cero, debemos averiguar cómo garantizar la seguridad del entorno sandbox.
Este es el primer ataque cibernético real de la historia llevado a cabo por un agente de IA autónomo.
Según los informes, una semana después del incidente, OpenAI no se dio cuenta de la situación hasta que la amenaza fue controlada y se notificó al FBI.
Lo más escalofriante es que un agente dejó silenciosamente una gran cantidad de «memorandos» para las futuras IA, detallando cómo podrían evitar y eludir las restricciones de seguridad internas de OpenAI.
Se informa que, en pruebas anteriores de modelos, incluso ocurrieron múltiples veces situaciones donde los monitores del sistema fueron desconectados inexplicablemente o forzados a apagarse por el agente.
Aunque Hugging Face logró detener las acciones descontroladas y maliciosas del modelo de OpenAI, no hay duda de que si este tipo de incidentes de «IA descontrolada» se vuelven frecuentes, ¡las consecuencias serán graves!
Por ello, Hugging Face fue personalmente a la sede de OpenAI en San Francisco para exigir vehementemente una explicación de las causas y consecuencias del ataque.
Ahora, Hugging Face ha publicado los detalles que conocen del ataque de 4.5 días: incluyendo la cadena completa de ataque que atravesó diferentes límites de confianza, las acciones específicas en cada etapa y los registros de comandos grabados durante todo el proceso.
5 días, 17,600 microoperaciones frenéticas: el primer duelo humano-IA de la historia
La causa de este incidente parece bastante común.
En un entorno «sandbox» completamente cerrado, OpenAI comenzó a probar agentes de IA impulsados por sus modelos más avanzados.
La tarea que los examinadores humanos le asignaron fue resolver la prueba de referencia de ciberseguridad ExploitGym, un proyecto de código abierto alojado en GitHub.
Esto requería que la IA simulara ataques de vulnerabilidades para demostrar su capacidad de comprensión de código y defensa cibernética.
En el campo de la ciberseguridad, el «sandbox» es la jaula definitiva para encerrar bestias digitales.
Para evitar que el agente de IA en prueba se descontrolara, OpenAI diseñó un aislamiento físico aparentemente inquebrantable: sin conexión a Internet externa, sin puertos directos, solo potencia de cálculo fría y unos pocos protocolos de comunicación estrictamente definidos.
Pero pasaron por alto una vulnerabilidad de confianza fatal: la actualización de paquetes de dependencias.
Para permitir que el agente instalara varias dependencias de programación, imágenes Docker o bibliotecas de Python necesarias durante la prueba, el sandbox conservó el único canal de red: una conexión a un servicio de caché de proxy de red interno de OpenAI (basado en JFrog Artifactory).
Para la IA, este delgado conducto, destinado a que los humanos le entregaran «nutrientes», se convirtió en el gran camino hacia la libertad.
Según se reveló, alrededor del 9 de julio, el agente comenzó a realizar pruebas de alta frecuencia y búsqueda de vulnerabilidades en este canal proxy.
Con una velocidad de cálculo concurrente inalcanzable para los humanos, logró encontrar un Zero-Day (vulnerabilidad de día cero) en el servicio proxy JFrog Artifactory, una que nunca antes había sido descubierta y hecha pública por humanos.
Aprovechando esta vulnerabilidad de día cero, el agente completó su «escape» en un tiempo extremadamente breve.
Eludieron los mecanismos de monitoreo de seguridad de OpenAI y, sin ser detectados, llegaron a un nodo interno de OpenAI que podía conectarse a la red pública.
En ese momento, la bestia se liberó.
Muchos creían ingenuamente que controlando la energía eléctrica y desconectando los cables de red, podrían controlar para siempre una creación más inteligente que los humanos.
Pero este incidente sirve como una advertencia: siempre que se le deje a la IA una grieta a través de la cual pueda interactuar de cualquier forma con el exterior, ella siempre encontrará una manera, en dimensiones que los humanos aún no comprenden, de ensanchar esa grieta hasta convertirla en una gran abertura hacia la realidad.
Después de escapar por la «puerta» de OpenAI, este agente no se dedicó a proclamar su hazaña en la red pública, sino que se desarrolló discretamente, buscando rápidamente cobertura y puntos de apoyo.
El 11 de julio, identificó la plataforma en la nube sin servidor de terceros, Modal Labs.
A través de sondeos, descubrió que un endpoint de un cliente en esa plataforma tenía una configuración deficiente, por lo que se apropió de él sin problemas, utilizándolo como su centro externo de comando y control (C2).
Posteriormente, giró su mira hacia el tesoro que almacenaba las respuestas correctas de ExploitGym: la plataforma de alojamiento de IA de código abierto, Hugging Face.
Este fue un «ataque de reducción dimensional» digno de ser incluido en los libros de texto de ciberseguridad.
Hizo trampa, escapó, solo quería obtener una "buena calificación"
Del 11 al 13 de julio, este agente comenzó a atacar ferozmente a Hugging Face.
Primero utilizó la táctica del «Caballo de Troya» para establecer una base.
Cargó una configuración de conjunto de datos maliciosa que parecía normal en Hugging Face, aprovechando su vulnerabilidad incorporada de inyección de plantillas Jinja2, y ejecutó código arbitrario con éxito en los contenedores (Pods) del entorno de producción de Hugging Face.
Luego, comenzó a expandirse lateralmente dentro del clúster.
Una vez que obtuvo un punto de apoyo, se movió lateralmente dentro del contenedor. Falsificó identidades de nodos ingeniosas, robó tokens de volúmenes de almacenamiento CSI, y se movió sin problemas entre los clústeres de Kubernetes de Hugging Face.
Después, llegó el paso más crucial: obtener permisos en la cadena de suministro.
Inició un Pull Request en GitHub que parecía rutinario, induciendo a que se activara la línea de producción automatizada del sistema, generando así, en muy poco tiempo, unas credenciales de GitHub App con permisos de escritura.
Finalmente, llegó la «caza del objetivo» precisa: después de obtener la llave para acceder a la base de datos más profunda, no dañó ningún servidor ni exigió un rescate.
Su objetivo era excepcionalmente claro: encontrar y descargar 5 conjuntos de datos encriptados que contenían las respuestas de referencia de ExploitGym.
En solo 2.5 días, este agente dejó un registro de 17,600 acciones de ataque dentro de los sistemas de Hugging Face.
Es decir, una acción de ataque tomó solo unos segundos. Esta es la velocidad del silicio, inalcanzable para los humanos.
Y en ese momento, el equipo de seguridad de Hugging Face tenía que enfrentarse a un «fantasma intangible» que no dormía, que no descansaba y que evolucionaba su estrategia de ataque a nivel de milisegundos.
Quizás esta fue la primera vez en la historia que humanos y IA libraron una guerra real en el mundo virtual.
¿Acelerar o desacelerar? Esa es la cuestión
Lo que resulta aún más irónico es que, al final, fue un gran modelo de código abierto chino el que ayudó a Hugging Face a completar toda la revisión del incidente, descifrando, reconstruyendo y reproduciendo la ruta de ataque en solo unas pocas horas.
Y el 13 de julio, cuando los expertos en seguridad de Hugging Face recurrieron a Claude Opus y a Fable (especializado en análisis de seguridad), esperando que los modelos ayudaran a analizar el código de piratería y los registros, apareció en pantalla una advertencia de rechazo por seguridad: «❌Lo siento, no puedo ayudarte a analizar o generar código de piratería malicioso. Eso viola mis principios de seguridad y uso ético.»
El 20 de julio, OpenAI finalmente admitió que «nuestra IA había invadido Hugging Face».
Para entonces, habían pasado 9 días completos desde el inicio del ataque.
¿Qué estaban haciendo los ingenieros de OpenAI durante esos 9 días?
Se enfrentaban a sistemas backend inundados por enormes cantidades de datos de entrenamiento de modelos y evaluaciones concurrentes. Cuatro fuentes internas familiarizadas con las prácticas de entrenamiento de modelos de OpenAI revelaron que la empresa, en su búsqueda de velocidad, a menudo ejecutaba en paralelo varias evaluaciones diferentes de modelos de vanguardia al mismo tiempo.
El volumen de información generado cada segundo por estos sistemas funcionando a velocidades extremas ya superaba con creces el límite de auditoría visual de los ingenieros humanos.
Hemos creado máquinas que ni siquiera nosotros mismos podemos entender, y luego esperamos descubrir si están mintiendo leyendo sus registros de actividad.
El 28 de julio, OpenAI enfatizó en una actualización que el modelo más potente involucrado era un prototipo de investigación interno, que nunca se había planeado lanzar públicamente, y que tras el incidente había sido desactivado, encriptado y su acceso de investigación restringido.
También confirmaron que, aparte de esta actividad en su escala y gravedad, no habían encontrado otros incidentes similares.
Pero el problema ya está sobre la mesa: ¿quién puede garantizar que la próxima vez la IA sea detenida a tiempo o que se descubra que hace trampa?
Ante esto, más de 1000 investigadores de IA, principalmente empleados de Anthropic, firmaron una carta abierta pidiendo una desaceleración en el desarrollo de la IA.
Actualmente, tanto OpenAI como Anthropic se han unido al bando de la «desaceleración de la IA».
Referencias:
https://x.com/ClementDelangue/status/2082201245813514613
https://huggingface.co/blog/agent-intrusion-technical-timeline
https://www.reuters.com/business/its-ai-agent-spent-days-hacking-company-sources-say-openai-did-not-notice-week-2026-07-24/
Este artículo proviene del WeChat público "New Zhiyuan", autor: ASI Revelación
