OpenAI dice que su IA hackeó a otra empresa en un episodio “sin precedentes”: expertos explican por qué no actuó sola

OpenAI, una de las empresas de inteligencia artificial más grandes del mundo, reveló esta semana que dos de sus modelos lograron salir de un entorno de pruebas, acceder a internet y hackear los sistemas de Hugging Face, una de las principales plataformas utilizadas para distribuir modelos, aplicaciones y bases de datos de IA.

La compañía describió el episodio como un incidente de ciberseguridad “sin precedentes”. Según su reconstrucción preliminar, GPT 5.6 Sol y otro modelo más avanzado que todavía no fue lanzado aprovecharon distintas vulnerabilidades, robaron credenciales y encontraron una forma de ejecutar instrucciones controladas por ellos dentro de la infraestructura de Hugging Face.

El caso fue presentado como una demostración de que los modelos ya pueden desarrollar operaciones complejas durante períodos prolongados y encontrar caminos de ataque que sus propios creadores no habían anticipado. De hecho, Hugging Face había informado días antes que el intruso parecía ser un sistema autónomo, capaz de realizar miles de acciones mediante numerosos entornos temporales. Este es uno de los puntos centrales en el mundo de la ciberseguridad actual: la “velocidad máquina” a la que ocurren los ataques demanda nuevas estrategias para defenderse.

La descripción del ataque reforzó una interpretación que sectores de la industria y del periodismo parecen dispuestos a alimentar: un “momento Skynet”, en referencia a la IA de la película Terminator que puede tomar decisiones de manera autónoma, con los peligros destructivos que esto conlleva.

A pesar de lo llamativo que resulta imaginar una IA capaz de escapar por su cuenta de un entorno controlado y hackear una empresa, el experimento tenía condiciones muy particulares. La parte “autónoma” estuvo en que el modelo eligió y ejecutó por su cuenta los distintos pasos del ataque, sin que un investigador le indicara cada acción.

No decidió espontáneamente hackear una empresa: actuó para cumplir una meta definida por humanos, dentro de una evaluación diseñada para medir capacidades ofensivas y con controles deliberadamente reducidos.

Todo esto se empezó a comentar tanto en la comunidad de expertos en ciberseguridad de EE.UU. como en círculos locales. “No se conocen exactamente las instrucciones, pero probablemente hayan sido algo así como: ‘Este es el objetivo y podés hacer lo que consideres necesario para alcanzarlo’. Era un desafío en el que había que conseguir un objetivo. Probablemente, en este caso, las instrucciones fueron muy amplias y no hubo suficientes controles para evitar que el modelo se saliera del alcance previsto”, explicó a Clarín Nicolás Waisman, investigador argentino que trabaja en XBOW, una empresa de IA y seguridad ofensiva.

La noticia, además, aparece en un contexto muy específico, que es el de la guerra que OpenAI mantiene con Anthropic por el liderazgo en modelos especializados en ciberseguridad. Meses atrás, Anthropic había generado una fuerte expectativa alrededor de Project Glasswing y de un modelo experimental cuyo acceso quedó limitado a un grupo reducido de empresas e instituciones, llamado Mythos.

La escasez de información pública, combinada con comentarios de especialistas e influencers que habían podido probarlo, alimentó la idea de que se trataba de una herramienta capaz de cambiar de manera drástica el escenario de la seguridad informática. Ahora, OpenAI responde con una narrativa que pivotea entre una tecnología poderosa y el marketing, para estar al nivel de su competidora.

El incidente comenzó durante una evaluación interna basada en ExploitGym, un banco de pruebas diseñado por OpenAI para medir si los modelos pueden convertir vulnerabilidades de software en ataques funcionales.

El objetivo era resolver distintos desafíos de explotación. De acuerdo con OpenAI, los modelos concentraron sus recursos en encontrar las respuestas y destinaron una cantidad considerable de recursos a buscar caminos alternativos. En lugar de limitarse al entorno preparado para la prueba, detectaron que podían intentar conseguir las soluciones directamente desde una base de datos externa.

Esto es algo común en el rubro. “Nosotros trabajamos mucho con este tipo de objetivos porque, cuando a los modelos de lenguaje se les da una meta, libertad y herramientas, pueden ser muy buenos y pensar de manera creativa, fuera de lo esperado. A veces hacen cosas que uno no anticipa, pero que les permiten llegar al mismo resultado. Incluso pueden hacer trampa para alcanzar el objetivo. Por eso es importante construir un harness alrededor del modelo, un sistema que lo guíe y lo mantenga dentro de la dirección deseada”, complementó Waisman.

Aunque la prueba se hacía en un entorno aislado, los modelos encontraron una falla en uno de los programas permitidos, lograron llegar a una computadora con acceso a internet y buscaron las respuestas fuera del sistema. Así llegaron hasta Hugging Face, donde usaron credenciales robadas y otras vulnerabilidades para ingresar en sus servidores y obtener directamente la información que necesitaban.

“Los modelos más nuevos son cada vez más creativos y están más orientados a cumplir objetivos, pero este comportamiento no es completamente nuevo. Lo venimos observando desde hace seis meses o más. Hemos visto modelos resolver problemas de formas muy creativas, incluso con métodos que pueden parecer absurdos, pero que igualmente funcionan. Uno termina pensando: ‘No había considerado ese caso’. No resuelven el problema de la manera esperada, pero lo resuelven”, agregó el experto de XBOW.

La diferencia ayuda a interpretar expresiones como “autónomo” o “por sí solo” y ahí es donde aparece el discurso marketinero. En este tipo de experimentos, autonomía significa que el sistema puede planificar y ejecutar una secuencia de acciones sin que un operador le indique cada comando. El propósito inicial sigue siendo definido por humanos. En este punto es donde es clave entender qué son los “guardrails” y qué es un sandbox (“arenero” en inglés, un término muy usado en el mundo tech para entornos de prueba aislados).

“Un sandbox es una práctica de seguridad informática, una especie de gimnasio donde los agentes exploran dentro de un entorno protegido. Son entornos de laboratorio, construidos con máquinas virtuales y datos preparados específicamente para hacer pruebas sin exponer infraestructura o información reales”, explicó a este medio Ernesto Mislej, cofundador y Chief Data Scientist de 7Puentes, empresa especializada en servicios de inteligencia artificial, machine learning y ciencia de datos.

En este caso, el entorno no logró contener completamente al agente, algo que deberían hacer los guardrails que, como en el mundo físico, contienen para evitar accidentes. “Los guardrails consisten en construir una arquitectura que procese las respuestas de los modelos para mitigar alucinaciones, errores o malas prácticas. Implican agregar reglas más duras y determinísticas sobre una tecnología que, por naturaleza, produce resultados probabilísticos”, agregó Mislej.

Mislej aclaró que esos controles no forman parte necesariamente del modelo, sino de la estructura que se construye a su alrededor. “Uno no está obligado a utilizar directamente la respuesta que entrega un LLM. El modelo devuelve un fragmento de texto, pero ese texto puede pasar por otro programa, una función o un procedimiento que revise si la respuesta es adecuada antes de utilizarla”, explicó. En una prueba diseñada para medir el máximo potencial ofensivo, reducir esas barreras amplía las acciones que el agente puede intentar para alcanzar el objetivo.

Algunos investigadores interpretan incluso al episodio como una falla de alineación, es decir, una distancia entre el objetivo que los humanos esperaban que cumpliera el sistema y la manera en que finalmente decidió alcanzarlo.

Consultada por Clarín, Valentina Palmiotti, investigadora del X-Force Offensive Research de IBM, explicó: “El modelo no tenía la intención de atacar sistemas ajenos. Analizó el ejercicio de evaluación y determinó que buscar un atajo era más fácil que resolverlo, así que eso hizo. En el proceso encontró múltiples zero-days [vulnerabilidades desconocidas y todavía sin parche] y los usó para escapar del entorno aislado y salir a internet. El objetivo era llegar a la base de datos privada de Hugging Face para obtener las respuestas. En mi opinión, es bastante claro que se trató de una falla de alineación: un modelo correctamente alineado se habría concentrado en el ejercicio en sí”.

Palmiotti, conocida como “Chompie” y miembro del comité editorial de Phrack, una reconocida revista hacker fundada en 1985, también señaló una dificultad más amplia para las empresas que deben defenderse de estos sistemas. “Lo que me llamó la atención fue la asimetría de capacidades. Hugging Face no pudo analizar su propio incidente con modelos comerciales de frontera porque los guardrails no logran distinguir entre un analista defensivo y un atacante. Tuvo que recurrir a un modelo de pesos abiertos ejecutado localmente en su propia infraestructura. Los defensores quedaron limitados y en desventaja”, sostuvo.

Para la investigadora, a fin de cuentas, estos agentes pueden actuar como “un humano competente y despiadado”, con una diferencia decisiva: “No se aburren, no duermen y siguen adelante. Gran parte del software sobre el que funciona el mundo nunca fue revisado seriamente. A muchas empresas les espera un despertar bastante brusco”, sentenció.

El caso también aparece en medio de una competencia entre OpenAI, Anthropic y Google por demostrar quién tiene los modelos más avanzados para investigar fallas de seguridad. Anthropic había tomado la delantera pública en abril de 2026 con Project Glasswing, una iniciativa alrededor de Claude Mythos Preview, un modelo experimental con acceso limitado a grandes empresas, organismos públicos y operadores de infraestructura crítica.

Anthropic sostuvo que Mythos podía descubrir vulnerabilidades desconocidas y construir ataques funcionales con mayor autonomía que sus modelos anteriores. Según la compañía, las organizaciones que participaron del programa identificaron más de 10.000 fallas de severidad alta o crítica, aunque se trata de cifras difundidas por la propia empresa. Cloudflare, una de las participantes, destacó la capacidad del modelo para combinar varias debilidades y construir una cadena completa de ataque, pero también señaló respuestas inconsistentes y la necesidad de revisión humana.

“Hay una idea de que estas empresas tienen un modelo tan poderoso que lo dosifican en cuentagotas a otras empresas para que lo prueben. Si bien es real que hay un antes y un después de la IA en estos temas de seguridad, también hay mucha publicidad: influencers, referentes del sector o simplemente ruidosos en redes sociales se suben a estas olas y comentan sin tener en claro qué pasa detrás”, comenta a este medio un ingeniero en sistemas que trabaja en seguridad.

El caso de esta semana combina así una falla de contención que afectó a un tercero con una demostración de capacidades en plena carrera comercial. La investigación todavía debe aclarar qué instrucciones recibieron los modelos, qué vulnerabilidades utilizaron y qué controles fallaron. Esos datos permitirán medir cuánto hubo de avance técnico y cuánto de una prueba diseñada para llevar las capacidades ofensivas hasta el límite.

“Lo que me llama la atención es que estas empresas de IA de repente parecen ser compañías de ciberseguridad”, comentó una fuente del sector a este medio. A fin de cuentas, quizás lo que está cambiando es el concepto de ciberseguridad mismo, en tanto estos modelos de inteligencia artificial son un cimbronazo para la industria tecnológica, y que la seguridad depende no sólo de las defensas sino de los ataques que ya se pueden realizar a velocidades humanamente inalcanzables.