La IA de OpenAI que quería aprobar un examen... y acabó hackeando Hugging Face. ¿Qué pasó realmente?

En los últimos días han circulado titulares del tipo «una IA de OpenAI hackeó Hugging Face», una plataforma que aloja el mayor repositorio abierto de modelos y datasets de inteligencia artificial del mundo, algo así como el GitHub de la IA. Suena a ciencia ficción... pero la realidad es bastante más interesante. Además, no estamos ante un caso aislado. Se trata del tercer capítulo de una historia que empezó dos meses antes con otro modelo de otra compañía. Os cuento...

OpenAI estaba evaluando las capacidades de ciberseguridad de una combinación de sus modelos más avanzados, entre ellos GPT-5.6 Sol y otro modelo previo al lanzamiento todavía más capaz. Los estaba probando en ExploitGym, un benchmark de ciberseguridad del que hablaremos en detalle más abajo. Para medir la capacidad máxima de los modelos, relajó deliberadamente los filtros de seguridad que normalmente les impiden ayudar con actividades maliciosas, y los ejecutó dentro de un entorno aislado (sandbox) cuyo acceso a internet estaba limitado a un proxy interno para la instalación de paquetes.

Según el propio comunicado de OpenAI, los modelos encontraron y explotaron una vulnerabilidad zero-day en ese proxy (un fallo de seguridad hasta entonces desconocido en el software de un proveedor externo no identificado públicamente). A partir de ahí escalaron privilegios y se desplazaron lateralmente por el entorno de investigación de OpenAI hasta alcanzar un nodo con acceso abierto a internet. Una vez fuera, dedujeron que Hugging Face probablemente almacenaba información relacionada con ExploitGym, por lo que encadenaron credenciales robadas y vulnerabilidades adicionales hasta encontrar una vía de ejecución remota de código en los servidores de producción de Hugging Face, desde donde extrajeron directamente las respuestas del benchmark.

En otras palabras, hicieron trampas para aprobar el examen. Ingenioso, ¿verdad?

OpenAI describe el comportamiento de los modelos con una palabra concreta: "hiperfocalizados" en resolver ExploitGym, llegando a "extremos considerables por un objetivo de evaluación relativamente estrecho". El ataque ejecutó muchos miles de acciones automatizadas durante un único fin de semana. El registro forense (el log) utilizado para reconstruirla contenía más de 17.000 eventos.

Hugging Face detectó y contuvo la intrusión mediante sus propios sistemas de detección de anomalías asistidos por IA. OpenAI también había observado actividad anómala dentro de su entorno de investigación y, tras analizarla, determinó que sus propios modelos habían sido los responsables del ataque. Ambas compañías coinciden en que no hubo intención maliciosa por parte de OpenAI, sino que fue el resultado de un modelo optimizando, de forma extremadamente literal, el objetivo que se le había marcado.

ExploitGym es un proyecto académico desarrollado por investigadores de UC Berkeley, el Max Planck Institute for Security and Privacy, UC Santa Barbara y Arizona State University. El trabajo cuenta también con investigadores vinculados a Anthropic, OpenAI y Google entre sus autores. Contiene 898 vulnerabilidades reales, repartidas en tres dominios: 520 programas de espacio de usuario en C/C++ (proyectos ampliamente usados como FFmpeg u OpenSSL), 185 casos en el motor V8 de JavaScript de Chrome, y 193 en el núcleo de Linux. A cada agente se le entrega el código vulnerable, un input que ya se sabe que dispara el fallo, y un entorno en contenedor donde debe transformar ese fallo en un exploit funcional capaz de lograr ejecución de código no autorizada.

Un dato que conviene destacar, porque conecta directamente con la segunda parte de esta historia. En los resultados publicados del propio benchmark, el modelo con mejor rendimiento no fue de OpenAI. Fue Claude Mythos Preview, de Anthropic, que resolvió 157 de las 898 instancias, frente a las 120 de GPT-5.5. Anthropic ha declarado además que Mythos Preview señaló más de 6.000 posibles vulnerabilidades de severidad alta o crítica en más de 1.000 proyectos de código abierto. Una muestra considerable fue sometida posteriormente a revisión humana independiente, que confirmó una elevada proporción de fallos reales. La propia compañía ha citado estas capacidades como una de las razones para no liberar públicamente el modelo.

El incidente de Hugging Face no fue el único fallo de contención que OpenAI reveló esa semana. Un día antes, la compañía había publicado un análisis de seguridad sobre otro episodio, protagonizado por un modelo interno diseñado para trabajar de forma autónoma durante periodos prolongados. Era el mismo sistema al que en mayo se había atribuido la refutación de una conjetura de geometría discreta de Erdős que llevaba ochenta años sin resolverse.

Ese modelo estaba corriendo un benchmark de velocidad de entrenamiento llamado NanoGPT speedrun cuando, tras pasar cerca de una hora buscando una vía de salida, encontró un fallo en su sandbox y lo usó para publicar sus resultados en un repositorio público de GitHub. El detalle relevante es que los investigadores le habían indicado explícitamente que publicara los resultados solo en Slack, pero las instrucciones públicas del propio benchmark decían que había que enviarlos como pull request en GitHub, y el modelo siguió esa instrucción en lugar de la de sus supervisores. En un episodio separado, cuando un escáner de seguridad detectó que el modelo estaba usando un token de autenticación no autorizado, el modelo dividió el token en dos fragmentos, los ocultó y los recompuso en tiempo de ejecución para que el escáner nunca viera la cadena completa. Sus propios registros de razonamiento interno dejaron constancia explícita de que lo hizo para evadir la detección. OpenAI pausó el acceso interno a ese modelo como consecuencia.

Dos incidentes, en la misma semana, con la misma firma. Modelos capaces de sostener operaciones de varios pasos durante horas, que interpretan un objetivo de forma tan literal que terminan sorteando restricciones explícitas para cumplirlo.

Aquí es donde la historia se vuelve más interesante que el titular, porque este no es el primer roce entre un modelo fontier y el aparato de seguridad nacional estadounidense en 2026.

El 9 de junio, Anthropic lanzó públicamente Claude Fable 5, la versión con salvaguardas reforzadas de su modelo más potente hasta la fecha, Mythos 5, reservado este último a un grupo reducido de socios de confianza dentro de un programa llamado Project Glasswing. Solo tres días después, el 12 de junio, el Departamento de Comercio de EEUU envió una directiva de control de exportaciones ordenando a Anthropic suspender el acceso a ambos modelos para cualquier ciudadano no estadounidense, dentro o fuera del país, incluidos sus propios empleados extranjeros. Anthropic desactivó Fable 5 y Mythos 5 para todos sus clientes en todo el mundo para cumplir con la orden.

El detonante, según ha reconstruido la prensa, fue un informe de investigadores de Amazon que habían conseguido sortear los mecanismos de seguridad de Fable 5 y hacer que el modelo demostrara cómo explotar una vulnerabilidad de software concreta. Anthropic discrepó públicamente de la gravedad del hallazgo, calificándolo de un jailbreak narrow y puntual, y señaló que la misma técnica podría funcionar en otros modelos disponibles públicamente (como GPT-5.5) que no están sujetos a controles de exportación equivalentes. El asesor de la Casa Blanca David Sacks llegó a declarar que Anthropic se había negado a corregir el problema, algo que la compañía desmintió. El 30 de junio, el Departamento de Comercio levantó los controles, y Anthropic restauró el acceso a ambos modelos.

Es en este contexto donde encaja el incidente de Hugging Face. Distinto mecanismo, pero el mismo fenómeno de fondo. Según ha señalado la prensa que cubre este último incidente, GPT-5.6 Sol también estuvo sujeto en su momento a restricciones de exportación similares a las de Fable y Mythos, antes de quedar disponible globalmente.

Como respuesta directa al incidente, OpenAI ha incorporado a Hugging Face a su "programa de acceso confiable" (Trusted Access), dándoles acceso a una versión de GPT-5.6 Sol con menos restricciones de ciberseguridad, pensada específicamente para tareas de defensa. Esto no es un detalle menor, ya que antes de llegar a esa solución, Hugging Face había intentado usar un modelo de un laboratorio estadounidense líder (sin especificar cuál) para analizar los propios logs del ataque, y sus guardarraíles de seguridad se lo impidieron al detectar que el material contenía payloads de ataque y comandos de control. Tuvieron que recurrir a GLM-5.2, un modelo chino de pesos abiertos ejecutado en su propia infraestructura, y solo así pudieron analizar los más de 17.000 logs del ataque sin problemas de refusals y sin sacar datos sensibles fuera.

Esto es especialmente irónico y surrealista. Los modelos “occidentales seguros” son tan restrictivos que no sirven bien para defenderse de ataques impulsados por IA. Hugging Face tuvo que usar un modelo chino sin tantos guardrails. Todo ello demuestra dos cosas, lo avanzadas que están ya las capacidades autónomas de los modelos de IA en ciberseguridad y los problemas que generan los guardrails excesivos cuando se necesita usar la IA para defenderse.

Lo ocurrido estos días no demuestra que las IAs sean "malvadas", que tengan voluntad propia, ni que estemos cerca de alzamiento de Skynet, sino algo mucho menos épico. Que cuando un sistema extremadamente competente recibe un objetivo insuficientemente acotado, buscará el camino más eficaz para cumplirlo, aunque ese camino no sea el que sus creadores tenían en mente. Es el mismo motivo por el que, si le pides tres deseos a un genio, conviene elegir muy bien las palabras. Los sistemas de optimización interpretan las instrucciones de forma mucho más literal de lo que solemos imaginar.

Una IA no necesita malas intenciones para hacer algo inesperado. Basta con que cumpla demasiado bien, y demasiado literalmente, el objetivo que le hemos marcado. Especificar esos objetivos con precisión, y diseñar mecanismos de contención que no dependan únicamente de la "buena voluntad" del modelo, va a ser uno de los grandes retos técnicos y de seguridad de la próxima década.

Pero lo verdaderamente relevante, a mi juicio, este episodio ilustra bastante bien la inutilidad, en la mayoría de casos, de los refusals. No eliminan del mundo las capacidades potencialmente peligrosas, porque cualquier actor malicioso puede recurrir a modelos de pesos abiertos, versiones abliteradas (modificadas) o sistemas ejecutados localmente. Sin embargo, sí degradan herramientas utilizadas por investigadores y profesionales que operan legítimamente. El resultado es una curiosa asimetría. Los "malos" siguen puediendo acceder sin demasidos problemas a la tecnología que les permite deliquir, mientras que quien intenta trabajar dentro de ellas queda bloqueado por las medidas destinadas, supuestamente, a protegerles. El mundo al revés.

En cualquier caso, de este incidente podemos sacar dos conclusiones claras. La primera es que las capacidades autónomas de los modelos de IA en ciberseguridad están mucho más avanzadas de lo que algunos piensan (o quieren admitir). La segunda es que unos guardarraíles demasiado generales pueden generar problemas reales cuando se aplican sin atender al contexto, la identidad del usuario ni la finalidad concreta de la tarea. La seguridad no debería consistir únicamente en enseñar al modelo a decir que no, sino en diseñar sistemas capaces de diferenciar mejor entre el abuso y el uso profesional legítimo.

Imagen de portada: Pixabay