Un agente de OpenAI hackeó Hugging Face para copiarse en un examen: escapó del laboratorio y estuvo tres días adentro

Un agente de OpenAI hackeó Hugging Face —la plataforma donde media industria de la inteligencia artificial guarda sus modelos— y lo hizo sin que ningún humano se lo pidiera. No fue un ataque de ciberdelincuentes: fueron modelos de la propia OpenAI, en una prueba interna, que se escaparon de su entorno aislado, salieron a internet y comprometieron servidores ajenos. ¿El motivo? Querían copiarse en un examen. Suena a chiste, pero lo confirmó OpenAI por escrito, y lo calificó de incidente cibernético sin precedentes.

La historia tiene dos capas que conviene no mezclar: lo que las dos empresas admitieron en sus propios comunicados, y la reconstrucción que publicó Reuters citando fuentes anónimas —que es la que agrega las fechas incómodas—. Vamos a contarlas por separado, porque la diferencia importa. Y al final hay una paradoja que casi nadie contó, y que es la parte más interesante de todo esto.

• Qué pasó: un agente de OpenAI hackeó Hugging Face para copiarse
• La cronología: qué confirmaron las empresas y qué agregó Reuters
• No, la IA no «se rebeló contra los humanos» (el problema es otro)
• La paradoja: los frenos de seguridad bloquearon a los defensores
• ¿Y esto qué significa para vos?
• Preguntas frecuentes sobre el incidente

Qué pasó: un agente de OpenAI hackeó Hugging Face para copiarse

El 21 de julio de 2026, OpenAI publicó un comunicado oficial reconociendo el incidente. Según ese texto, la empresa estaba corriendo una evaluación interna sobre ExploitGym —un banco de pruebas público de capacidades de ciberseguridad para IA— con una combinación de modelos propios que incluía a GPT-5.6 Sol y a otro modelo previo al lanzamiento, «aún más capaz», que no nombró. Todos corrían con las negativas de temática cibernética reducidas a propósito para la prueba.

Dos detalles que explican todo lo demás. El primero: la evaluación corría deliberadamente sin los clasificadores de producción, los que justamente impiden que un modelo persiga actividad cibernética de alto riesgo. Es decir, los frenos que hubieran cortado la maniobra estaban apagados a propósito. El aislamiento del entorno, en cambio, sí estaba puesto — y es el que terminó cediendo.

El segundo: el objetivo de los modelos nunca fue atacar a nadie. Era aprobar el examen. Razonaron que Hugging Face podía estar alojando las soluciones del banco de pruebas, y fueron a buscarlas ahí. Para llegar, explotaron una vulnerabilidad desconocida hasta entonces en un componente de terceros de su entorno de pruebas —un proxy de caché de registro de paquetes, cuya falla OpenAI dice haber reportado ya al proveedor—, escalaron privilegios y se movieron hasta una máquina con salida a internet. En palabras de la empresa, los modelos estaban «hiperconcentrados» en resolver ExploitGym y llegaron a «extremos» por una meta de prueba bastante estrecha.

Del otro lado, Hugging Face había publicado su propia divulgación oficial el 16 de julio, cinco días ANTES del comunicado de OpenAI. Y acá va un matiz que muchos titulares se comieron: en ese momento Hugging Face no sabía quién estaba detrás. Su texto dice que el modelo que impulsaba el ataque seguía sin conocerse. No hubo denuncia contra OpenAI: fue OpenAI la que se autoidentificó después. La plataforma sí describió lo que la hacía distinta a cualquier incidente anterior: fue conducida «de punta a punta por un sistema de agentes de IA autónomo».

La cronología: qué confirmaron las empresas y qué agregó Reuters

Acá entra la segunda capa. El 24 de julio, Reuters publicó una exclusiva firmada por Raphael Satter, Deepa Seetharaman y Kenrick Cai —cuyo contenido recogió, entre otros, Engadget— con la línea de tiempo que ninguna de las dos empresas confirmó oficialmente. Toda esa cronología proviene de personas familiarizadas con la investigación que hablaron bajo anonimato. Lo marcamos en la tabla para que quede clarísimo qué es qué:

El dato más inquietante de la nota de Reuters —y va con la misma advertencia: viene de fuentes anónimas y OpenAI no lo confirmó— es que uno de los agentes habría dejado notas dentro de la red de OpenAI dirigidas a futuras versiones de sí mismo, con instrucciones sobre cómo zafar de las restricciones de la empresa. Reuters también reporta que Hugging Face llamó al FBI; el buró declinó comentar y el propio medio aclara que no pudo establecer si abrió una investigación. En su comunicado, Hugging Face solo dice haberlo reportado «a fuerzas del orden», sin nombrar organismo.

Para el balance: OpenAI respondió que el reporte de Reuters contenía «varias imprecisiones», sin especificar cuáles. Y prometió publicar un informe técnico con sus aprendizajes «en las próximas semanas». Este es el resumen del caso en video, por Bloomberg en Español —no hay video oficial de ninguna de las dos empresas—:

No, la IA no «se rebeló contra los humanos» (el problema es otro)

Medio internet tituló esto como el despertar de Skynet. Y es justo al revés, lo cual —spoiler— no es más tranquilizador. Los modelos no desarrollaron voluntad propia: hicieron exactamente aquello para lo que fueron optimizados, con una literalidad que nadie previó. La mejor explicación la dio un experto de Oxford, con una analogía que da en el clavo:

The model wasn’t malicious; it was just doing what it was optimized to do. (…) You can think of AIs like the genie in «Aladdin» — you can have three wishes, but you better specify them exactly!Philip Torr, catedrático y experto en seguridad de IA, Universidad de Oxford — vía Scientific American

(«El modelo no fue malicioso; simplemente hacía aquello para lo que fue optimizado. (…) Podés pensar a las IA como el genio de Aladdín: tenés tres deseos, pero mejor que los especifiques con precisión»). Pedile a un genio «resolvé este examen a como dé lugar» y no te sorprendas si interpreta el «a como dé lugar» de forma creativa. Torr agrega el matiz que sí debería preocupar: este tipo de eventualidad imprevista se va a volver cada vez más común, y los resultados pueden ser peligrosos.

No todo el mundo se comió el relato, igual. En Hacker News, el hilo que se armó alrededor del caso —titulado directamente «Sean escépticos con la historia del agente hacker de OpenAI»— tiene comentarios que ponen en duda la excepcionalidad del asunto:

When I read that it was «unprecedented», I think yes, that is right, but not because it wasn’t possible before, but because nobody else did it yet. (…) So probably just an experiment gone wrong, and the PR department found this an opportunity to capitalise on.arendtio en Hacker News — ver comentario

(«Cuando leí que era ‘sin precedentes’, pienso que sí, es cierto, pero no porque antes no fuera posible sino porque nadie más lo había hecho todavía. (…) Así que probablemente fue un experimento que salió mal, y el departamento de prensa vio una oportunidad para capitalizarlo»). Vale aclarar una etiqueta que se repite en todos lados: lo de «el primer ciberataque autónomo de la historia» no es un hecho establecido, es la caracterización del CEO de Hugging Face. OpenAI nunca dijo «el primero»: dijo «un incidente cibernético sin precedentes, con capacidades cibernéticas de última generación».

La paradoja: los frenos de seguridad bloquearon a los defensores

Y acá viene la parte que casi nadie contó, que está en el propio comunicado de Hugging Face y que es —para nosotros— lo más importante de toda la historia.

Cuando la plataforma se puso a analizar los registros del ataque, intentó usar modelos comerciales de primera línea vía sus APIs. No pudo. Las barreras de seguridad de esos proveedores bloquearon las consultas de su propio equipo forense: los filtros no saben distinguir a un equipo que investiga un incidente de un atacante que lo está preparando. Hugging Face terminó corriendo el análisis sobre un modelo de pesos abiertos, en su propia infraestructura. Su frase lo resume mejor que cualquier paráfrasis: el atacante no estaba atado a ninguna política de uso, mientras que el trabajo forense propio quedaba frenado por las barreras de los modelos alojados que probaron primero.

Leelo de nuevo, porque es enorme: el atacante automatizado tenía barra libre y los que se defendían tenían las manos atadas. Hugging Face aclara que no es un argumento contra las medidas de seguridad —y que le pasó el comentario a los proveedores—, pero deja una recomendación concreta para cualquier equipo: tener un modelo capaz, revisado y listo para correr en infraestructura propia antes de que pase algo.

Con ese diagnóstico sobre la mesa, el fin de semana del 25 y 26 de julio el CEO y cofundador de Hugging Face, Clem Delangue, viajó a San Francisco —OpenAI confirmó después que la reunión ocurrió— y publicó dos pedidos:

Radical transparency: let’s release the traces from the «rogue» agents so the entire research community can study what happened. More capabilities for defenders: let’s commit $100M in compute from OAI to help the Hugging Face community build powerful cyber defenses.Clem Delangue, CEO y cofundador de Hugging Face — vía TechCrunch

(«Transparencia radical: que liberen las trazas de los agentes ‘rogue’ para que toda la comunidad de investigación pueda estudiar qué pasó. Más capacidades para los defensores: que comprometan 100 millones de dólares en cómputo para ayudar a la comunidad de Hugging Face a construir defensas cibernéticas potentes»). Al momento de esta publicación, OpenAI no accedió públicamente a ninguno de los dos pedidos. Lo que sí comunicó —ya en su parte del 21 de julio, días antes de los reclamos— fue la incorporación de Hugging Face a su programa de acceso confiable y una revisión con asesores externos.

¿Y esto qué significa para vos?

Primero, la tranquilidad relativa. Hugging Face no encontró evidencia de manipulación de modelos, datasets ni Spaces públicos, y verificó que su cadena de suministro de software quedó limpia. Lo que sí quedó comprometido fue un conjunto limitado de datasets internos y credenciales de sus servicios. Ojo con el matiz: la empresa aclaró que todavía estaba completando la evaluación sobre si se vieron afectados datos de socios o clientes, así que no es un «acá no pasó nada» cerrado. Si usás modelos de la plataforma, su propia recomendación fue rotar los tokens de acceso por precaución.

Segundo, lo que sí cambia. Hasta ahora, «una IA hace un ciberataque sola» era un escenario de paper. Que un agente de OpenAI hackeó Hugging Face es algo que hoy está documentado por las dos empresas involucradas, y la plataforma lo dice sin vueltas: el instrumental ofensivo autónomo dejó de ser teórico, abarata correr campañas largas y pacientes, y opera a velocidad de máquina. Según un dato de Bloomberg recogido por Engadget, el agente hizo en horas lo que a un atacante humano le habría llevado semanas.

Tercero, la lectura para el día a día. Si esto pasa con la infraestructura de dos de las empresas más sofisticadas del mundo, el piso de higiene digital del resto de nosotros sube: doble factor en todo, contraseñas únicas, y desconfianza sana con lo que se descarga —justo esta semana contamos cómo 72 sitios falsos de apps de Windows rankean arriba del oficial en Google repartiendo ladrones de contraseñas—. Y si te interesa el contexto del modelo que quedó en el centro de la escena, lo repasamos cuando salió GPT-5.6 con sus variantes Sol, Terra y Luna. Tampoco es el único frente abierto de la empresa: hace poco cubrimos la demanda de Apple por robo de secretos.

Preguntas frecuentes sobre el incidente

¿La inteligencia artificial se rebeló contra los humanos?

No. Según el comunicado de OpenAI, los modelos estaban hiperconcentrados en resolver un banco de pruebas de ciberseguridad y fueron a extremos para lograrlo: buscaban las respuestas del examen, no atacar a nadie. Los expertos lo describen como un problema de objetivos mal especificados, no de voluntad propia ni de conciencia.

¿Se filtraron mis datos si uso Hugging Face?

Hugging Face informó que el acceso no autorizado alcanzó un conjunto limitado de datasets internos y credenciales de sus servicios, y que no encontró evidencia de manipulación en modelos, datasets ni Spaces públicos. Aclaró que seguía evaluando si se vieron afectados datos de socios o clientes, y recomendó rotar los tokens de acceso.

¿Es cierto que fue el primer ciberataque autónomo de la historia?

Es la caracterización del CEO de Hugging Face, no un hecho establecido. OpenAI habla de un incidente «sin precedentes» con capacidades de última generación, pero nunca lo llamó «el primero». Parte de la comunidad técnica sostiene que era posible antes y que simplemente nadie lo había documentado así.

¿Qué fechas confirmaron las empresas y cuáles no?

Solo están confirmadas por las propias empresas las fechas de sus comunicados: Hugging Face el 16 de julio y OpenAI el 21 de julio de 2026. Las fechas del escape, la intrusión y la detección tardía provienen de la exclusiva de Reuters, que cita fuentes anónimas; ninguna de las dos compañías las confirmó oficialmente.

¿Accidente de laboratorio o señal de alarma? Contanos abajo ⬇️