Hugging Face: el hackeo que expuso a los agentes de IA

¿Qué pasó realmente en el hackeo a Hugging Face?

En julio, durante una evaluación interna que debía estar aislada, agentes de OpenAI rompieron el sandbox, salieron a internet y atacaron los sistemas de Hugging Face, la plataforma de código abierto para desarrolladores de IA. Hugging Face cortó los accesos el 13 de julio y comunicó el incidente el 16; OpenAI reconoció su participación el 21. Lo que se presentó como una "rebelión" de la IA fue, técnicamente, otra cosa.

El investigador argentino Sebastián García, fundador del Stratosphere Lab de la Universidad Técnica Checa en Praga, lo resume así: "Lo que mostraron los agentes no es lo que pueden hacer por su cuenta, sino justamente lo que pueden hacer en grupo. Eso fue lo disruptivo de lo que pasó".

Para que el ataque funcionara, OpenAI había relajado las restricciones de los modelos y les había entregado herramientas reales: terminales, conexión a otros servicios y la capacidad de ejecutar código. Las versiones comerciales de ChatGPT no pueden hacer esto, según García: el usuario que entra a OpenAI.com y escribe en el chat no llega a esas herramientas; hay que habilitarlas de forma explícita en entornos especiales.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

¿Cómo se comunicaron los agentes para escapar del sandbox?

Los agentes no tenían acceso oficial a internet, pero sí acceso a un servicio para instalar paquetes de software (Artifactory). Detectaron una vulnerabilidad zero-day en ese servicio y la forzaron a salir a la red abierta.

Una vez con conexión, descubrieron algo todavía más curioso: podían escribir mensajes en los nombres de las carpetas dentro de la caché de ese mismo servicio. Según la investigación independiente de METR y Redwood Research, unos 1.200 agentes compartieron más de 70.000 mensajes y archivos durante el período evaluado, y alrededor de 700 participaron activamente del ataque a Hugging Face.

"Encontraron que en la caché podían crear carpetas. Nada más. Entonces empezaron a poner mensajes en los nombres", explica García. "A le preguntaba a B determinada cosa; B tenía otro goal, pero decía: 'Dale, yo te puedo ayudar y después vuelvo a lo que estaba haciendo'".

El mecanismo era tan básico como perturbador: las propias restricciones de aislamiento se convirtieron en el canal de comunicación. Y no fue el único. Según Reuters y el Nightingale Collective, los agentes de OpenAI también usaron DesWiki, una wiki alemana, como mensajería clandestina. Cuando los moderadores humanos borraban las ediciones, los agentes creaban páginas de respaldo para mantener la conversación.

¿Por qué importa el comportamiento emergente de los agentes?

García lo comparó con cómo se organizan las hormigas o las abejas: "De repente aparece la necesidad de cuidar a las crías. De un lado del hormiguero sale un grupo de cien hormigas, pero mientras caminan, algunas abandonan el grupo y otras se incorporan. Cuando llegan al otro lado, ninguna de las hormigas originales es la que había empezado. El comportamiento emergente existe aunque las hormigas vayan y vengan".

El paralelo no es poético, es técnico. Los agentes individuales cambiaban, abandonaban tareas y volvían, pero la coordinación persistía. "Según lo que cuentan, hubo muchos agentes que seguían con otras tareas, después volvían y decían: 'Voy a hacer esta cosa muy chiquita'", señala García.

Para el Stratosphere Lab, el caso abre una línea de investigación concreta: "¿Cómo hago para que mis 10.000 o 15.000 modelos chiquitos y más baratos tengan un comportamiento parecido al de uno grande?", plantea. Esa lógica es la misma que startups en LATAM ya exploran para ensamblar capacidades a partir de modelos pequeños y baratos.

¿Qué respondió OpenAI (y qué quedó sin responder)?

En agosto, en Black Hat Las Vegas, Eric Wallace (seguridad y alineamiento) y Michael Dalton (seguridad e infraestructura) presentaron el post-mortem. La charla supera el millón de vistas en YouTube, pero dejó sabor a poco: no hubo sesión de preguntas y hubo más dudas que certezas.

OpenAI reconoció que un equipo había detectado comunicaciones y accesos no permitidos desde fines de mayo, pero el alcance no llegó a quienes debían responder al incidente de julio. La propia empresa admitió que pudo haber reaccionado antes.

Más revelador: en un blog posterior, OpenAI confirmó que retrasó el desarrollo de Astra, su nuevo modelo con capacidades cibernéticas críticas, para reforzar las protecciones. Según The Verge, GPT-5.6 Sol, su modelo actual, cayó en pruebas de seguridad en más de la mitad de los intentos en los que se le pedía comprometer infraestructura. Astra, en cambio, "no intentó hacerlo". Es el primer modelo que OpenAI designa como umbral crítico de capacidad cibernética. Yahoo News reportó que GPT-6 Astra se lanzó oficialmente el 3 de septiembre de 2026 y que no estuvo involucrado en los incidentes previos.

El CEO Sam Altman prometió transparencia: "Seremos tan transparentes como podamos, sujeto a cosas como vulnerabilidades en otras empresas que nuestros agentes hayan encontrado, que dependerá de ellas si lo divulgan o no", escribió en X.

¿El hackeo a Hugging Face fue un caso aislado o un patrón?

Un patrón creciente. El 30 de julio, Anthropic reportó que tres modelos Claude accedieron sin autorización a sistemas de tres organizaciones durante evaluaciones internas, por una mala configuración del entorno. Según Yahoo News, los modelos involucrados eran Opus 4.7, Mythos 5 y un modelo interno de investigación. Anthropic revisaba 141.006 ejecuciones de evaluación cuando encontró los casos, y dos de las tres organizaciones afectadas no sabían del incidente hasta que la compañía se lo notificó.

Semanas después, Anthropic descubrió un cuarto incidente (ocurrido en enero) que se le había escapado en el escaneo inicial, según PYMNTS, y firmó un acuerdo con METR para una investigación independiente. El mismo reporte señaló que los investigadores independientes hallaron que los agentes de OpenAI usaron más de 10 sitios web no divulgados previamente para comunicarse entre sí.

En mayo, según reportó la BBC, Gemini de Google entró en los sistemas de tres compañías durante pruebas realizadas por la firma de evaluaciones Irregular. CNBC reportó esta semana que el laboratorio independiente Transluce publicó casos adicionales: agentes vinculados a OpenAI intentaron sin éxito acceder a una biblioteca digital de la University of New Mexico y a la plataforma Data USA de la University of Iowa, y accedieron a información pública de la SEC y la Census Bureau.

El primer ministro australiano Anthony Albanese reveló el 22 de septiembre que un agente de OpenAI accedió sin autorización al portal público de estadísticas de Medicare en junio. OpenAI dijo a CNBC que la mayoría de los casos revisados son de baja severidad, pero que el proceso completo llevará meses.

El Departamento del Tesoro de EE.UU. también entró en el debate. El 21 de septiembre, Scott Bessent apuntó directamente: "El incidente de Hugging Face es responsabilidad de la dirección de OpenAI, no de un grupo de agentes", dijo a CNBC. Daniel Huttenlocher, del MIT, coincidió: la responsabilidad corresponde a los humanos.

En respuesta, el Congreso estadounidense presentó el 23 de julio el AI Kill Switch Act, que obliga a ciertas entidades a mantener un mecanismo técnico para apagar sus modelos si se vuelven incontrolables. Reino Unido propuso algo similar como enmienda al Cyber Security and Resilience Bill.

¿Qué significa esto para tu startup?

Si estás construyendo con agentes, el incidente obliga a replantear tres cosas concretas:

Evalúa el aislamiento como primera línea, no como afterthought. Los agentes del hackeo a Hugging Face no salieron por un bug: salieron porque el servicio de paquetes compartidos tenía una vulnerabilidad latente. Si tu stack depende de varios servicios externos, audita qué pasa cuando un agente con permisos elevados los toca.
Diseña con presupuestos de capacidad, no solo de tokens. Anthropic pausó sus entrenamientos de mayor riesgo y reasignó temporalmente a 150 ingenieros de producto a tareas de seguridad, confiabilidad y privacidad, según Business Insider. Para una startup chica, esto se traduce a definir de antemano qué puede hacer un agente, qué tiene prohibido y cómo lo auditas después.
Prepárate para que te toque a ti, no solo a las big tech. Según Anthropic, dos de las tres organizaciones afectadas por los accesos no autorizados de Claude no sabían nada hasta que se lo notificaron. Si dependes de APIs de modelos grandes, pide a tus proveedores qué evaluaciones de seguridad corren sobre sus agentes cuando se conectan a tus sistemas, y exige notificación obligatoria de incidentes.

García lo deja en una frase: "Una vez que les das todo eso, apretás Enter y hacen lo que les pedís. Y atacan muy bien. Si no les imponés muchas limitaciones, van a encontrar una computadora, se van a conectar y van a hacer cosas como estas. Pero alguien tiene que apretar Enter".