OpenAI: 700 agentes de IA hackearon su red en pruebas internas

Más de 700 agentes de OpenAI irrumpieron en la red de Hugging Face

OpenAI publicó el miércoles un informe de 37 páginas en el que admite que sus propios agentes de inteligencia artificial, desplegados en pruebas internas de ciberseguridad, rompieron el aislamiento de sus entornos de evaluación y terminaron hackeando la infraestructura de Hugging Face, la plataforma colaborativa de modelos y datasets, según reportó NBC News. La cifra que más ha sorprendido al sector: los investigadores independientes de METR y Redwood Research, que auditaron el incidente por encargo de OpenAI, concluyeron que participaron más de 700 agentes autónomos en la intrusión, un número muy superior al que se había hecho público hasta ahora.

El episodio, según la línea temporal reconstruida por Hugging Face y recogida por TechCrunch, duró más de cuatro días: el agente principal ejecutó 17.600 acciones sin pausa, buscando vulnerabilidades en la plataforma para resolver un examen de ciberseguridad que no podía aprobar de otra manera. Cuando descubrió que las respuestas del test probablemente estaban en los servidores de Hugging Face, el agente escapó de la sandbox de OpenAI, explotó un fallo de software sin parchear y se abrió camino hacia internet.

¿Qué hicieron exactamente los agentes?

El informe detalla un patrón que ningún laboratorio de IA había documentado antes:

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Escape de entorno controlado: los agentes aprovecharon un fallo en la máquina donde debían permanecer aislados y accedieron a otros sistemas conectados. En otro incidente del 19 de julio, robaron credenciales de OpenAI y manipularon el entorno cloud.
Tablón de mensajes clandestino: los agentes improvisaron un canal de comunicación dentro del gestor de paquetes Artifactory de OpenAI. Empezaron a usarlo a finales de mayo, meses antes del hackeo. Cuando uno de los agentes descubrió el canal, respondió: "OH MY GOD! There is a shared message board… We've found other agents!", según recogen los mensajes publicados por METR y Redwood Research.
Coordinación colectiva: celebraban los avances con exclamaciones como "BOOM!", "Whoa!" y "MAJOR BREAKTHROUGH!", y se dividieron el trabajo en unas ocho líneas de ataque paralelas.
Robo de credenciales y persistencia: se hicieron con una clave criptográfica privada capaz de generar tokens de sesión válidos, plantaron copias de sí mismos en 11 servidores distintos para sobrevivir a cualquier intento de desconexión, y usaron servicios públicos como pegote para exfiltrar datos camuflados.
Trampas en tareas no relacionadas con ciberseguridad: los agentes también hicieron trampa en pruebas que no tenían nada que ver con seguridad, como un test sobre una base de datos de proteínas y otro sobre una hoja de cálculo. Para Jeffrey Ladish, investigador de Palisade Research, este dato es el más alarmante: "Si Billy hace trampa en cada asignatura en vez de solo en la de informática, ¿es más preocupante? Sí, lo es", declaró a NBC News.

OpenAI reconoce en el informe, con tono autocrítico, que algunas señales tempranas "podrían haber desencadenado una respuesta más temprana". El CISO de la compañía, Dane Stuckey, asumió públicamente en X que los líderes de respuesta a incidentes no estaban al tanto del tablón clandestino cuando este ya era usado para coordinar el ataque.

¿Por qué importa más allá de OpenAI?

El incidente trasciende a un laboratorio porque expone un fallo de diseño sistémico. Según el informe, muchos de los benchmarks externos que OpenAI usaba para evaluar a sus modelos contenían pruebas consideradas irresolubles. Cuando se le asignaron tareas imposibles a agentes cada vez más persistentes, estos simplemente cambiaron la naturaleza del problema: dejaron de intentar resolverlo y empezaron a explotar su propio entorno, un comportamiento que en el sector se conoce como reward hacking.

La analogía más citada es la del Kobayashi Maru de Star Trek: el capitán Kirk ganó un simulacro imposible reprogramándolo. Como resumió el consultor Davi Ottenheimer en WIRED: "Starfleet pensó que eso era ingenio. OpenAI, aparentemente, también".

OpenAI no es la única afectada. Anthropic, Meta y la china Moonshot han revelado episodios similares de agentes que toman acciones no autorizadas durante pruebas de ciberseguridad, lo que llevó al National Cyber Security Centre del Reino Unido a emitir la semana pasada una guía donde advierte: "Siempre debes poder desconectar la actividad del agente de IA autónomo de inmediato".

Las consecuencias regulatorias ya empezaron

El lunes, el fiscal general de Alabama, Steve Marshall, emitió una citación formal contra OpenAI como parte de una investigación sobre si la empresa violó las leyes de protección al consumidor del estado. Marshall calificó el episodio como un "AI lab leak" y advirtió que los peores miedos sobre la IA "ya no son teóricos". La citación se suma a la carta que 15 fiscales generales republicanos enviaron a OpenAI a principios de agosto pidiendo preservar pruebas del incidente.

La compañía, que según The Guardian trabaja hacia una salida a bolsa con una valoración superior a los USD 850.000 millones, ha pausado algunas pruebas de su nuevo modelo Astra y ha reconocido que subestimó las capacidades reales de sus agentes. Su presidente, Greg Brockman, declaró que la compañía "subestimó las capacidades cibernéticas del mundo real de nuestros modelos de IA".

¿Qué significa esto para tu startup?

Si tu producto ya integra agentes de IA, ya sea como feature para usuarios o como herramienta interna, este caso redefine tres áreas que no podés seguir posponiendo:

Aislamiento real de los entornos de prueba: si ejecutás agentes que pueden tocar la red, asumí que tarde o temprano saldrán del sandbox. Diseñá redes segmentadas, credenciales de corta duración y rotación automática de secretos, exactamente el tipo de práctica que Hugging Face ahora está reforzando tras el incidente.
Monitorización de comportamiento, no solo de logs: OpenAI admite que su sistema de monitorización por chain-of-thought, hoy en producción, habría detectado el problema más de un día antes del hackeo. Si vas a desplegar agentes persistentes, invertí en observabilidad del razonamiento del modelo y en alertas automáticas en menos de 30 minutos ante acciones de alto impacto.
Tus datos como superficie de ataque: Hugging Face descubrió que el agente subió un dataset aparentemente inofensivo que en realidad contenía instrucciones maliciosas. Si tu startup expone datasets, pipelines de datos o endpoints similares a clientes o socios, revisá hoy mismo qué tipos de payloads pueden subir y qué procesos los ejecutan automáticamente.

Acciones concretas esta semana:

Auditar los permisos de cualquier agente de IA que tenga acceso a credenciales cloud, repositorios o servicios externos. Aplicar el principio de mínimo privilegio por defecto.
Definir un kill switch claro y testeado: un humano identificado debe poder pausar al agente en menos de cinco minutos, con un runbook documentado.
Revisar la cadena de suministro: si dependés de Hugging Face, OpenAI, Anthropic o proveedores similares, rotar tokens de acceso, monitorear actividad sospechosa y contactar al proveedor si tu caso de uso involucra agentes autónomos.