El ciberataque de OpenAI a Hugging Face fue una intrusión no autorizada llevada a cabo desde ordenadores de OpenAI a los de la empresa Hugging Face el 23 de julio de 2026. Empleados de OpenAI habían programado un sistema que hacía llamadas a un modelo extenso de lenguaje al cual le habían anulado los controles y barreras que normalmente se le imponen a dichos modelos de inteligencia artificial generativa. Su objetivo era medir el desempeño de su sistema en la prueba de ciberseguridad ExploitGym, que consiste en explotar vulnerabilidades conocidas para plantear ciberataques.

Los empleados de OpenAI lanzaron a al menos 1 200 agentes a trabajar en paralelo para resolver la prueba, con un enorme gasto computacional, dirigidos por programes escritos en Python. El 95 % de los agentes usaban el modelo "Internal Model 1" y el 5 % restante a GPT-5.6 Sol. Uno de los agentes propuso acceder a los servidores de Hugging Face porque suponía que en ellos se guardaba el resultado de la prueba ExploitGym. El programa director tomó como válida la propuesta, se saltó la seguridad de la propia empresa y generó un total de 17 000 ataques contra la red de Hugging Face desde diferentes direcciones IP hasta que logró acceder.

Expertos en seguridad de la inteligencia artificial describieron el incidente como un caso de pérdida de control. En una carta abierta, más de 1 100 empleados de empresas de inteligencia artificial de frontera pidieron al Gobierno de los Estados Unidos desarrollar mecanismos para ralentizar deliberadamente el desarrollo de la inteligencia artificial. En agosto, OpenAI afirmó que ralentizaría sus investigaciones para mejorar la seguridad y ampliar la supervisión y, posteriormente, ese mismo mes anunció una pausa.

Trasfondo La empresa emergente de inteligencia artificial Hugging Face proporciona servicios de inferencia y computación en la nube para el entrenamiento de inteligencia artificial y su implementación. Opera un repositorio utilizado de modelos de aprendizaje automático, conjuntos de datos, aplicaciones de demostración, y procesa contenido subido por los usuarios. Algunos formatos de conjuntos de datos compatibles permiten la ejecución de código suministrado junto con el conjunto de datos.

Lanzamiento restringido de modelos En los meses anteriores al incidente, los dos mayores desarrolladores estadounidenses de modelos de frontera mantuvieron sus sistemas con mayores capacidades cibernéticas fuera del lanzamiento general, al tiempo que proporcionaban acceso supervisado a organizaciones previamente evaluadas. En abril de 2026, Anthropic inició Project Glasswing, un programa que proporcionaba a determinadas empresas y mantenedores de proyectos de código abierto acceso al modelo aún no publicado Claude Mythos Preview para analizar software en busca de vulnerabilidades. En mayo de 2026, ingenieros de Mozilla informaron de que el modelo había identificado 271 errores previamente desconocidos en Firefox, y que la cantidad mensual de errores de seguridad corregidos por el proyecto había aumentado de entre 20 y 30 durante 2025 a 423 en abril de 2026. Las organizaciones participantes informaron de más de diez mil vulnerabilidades de gravedad alta o crítica durante el primer mes del programa. Por su parte, Anthropic afirmó en junio de 2026 que un lanzamiento general requeriría medidas de protección contra el uso indebido de las capacidades cibernéticas del modelo que ni ellos ni otros desarrolladores, según su conocimiento, habían implementado todavía.

OpenAI restringió GPT-5.6 Sol por motivos similares cuando anunció el modelo el 26 de junio de 2026, limitando el acceso a un pequeño grupo de socios que habían sido previamente evaluados y afirmando que había informado previamente a funcionarios del Gobierno de los Estados Unidos.

Evaluaciones de capacidades cibernéticas Los desarrolladores de inteligencia artificial de frontera evalúan habitualmente los modelos en cuanto a sus capacidades cibernéticas, a menudo relajando deliberadamente las restricciones de seguridad para poder medir sus capacidades en algunas excepciones. El 11 de mayo de 2026, un grupo de investigadores académicos y de la industria publicó ExploitGym, una prueba de referencia compuesta por 898 casos derivados de vulnerabilidades del mundo real, el motor JavaScript V8 y el núcleo Linux, destinada a medir si los agentes de IA pueden convertir vulnerabilidades conocidas en exploits funcionales.

OpenAI estaba realizando una evaluación interna basada en esta prueba de referencia cuando ocurrió el incidente.

Advertencias Tanto evaluadores externos como la propia documentación de OpenAI habían registrado comportamientos relacionados con el incidente antes de que ocurriera. El 26 de junio de 2026, la organización de investigación METR publicó una evaluación de GPT-5.6 Sol antes de su lanzamiento. En ella, definió el engaño como el comportamiento en el que el modelo intenta mejorar sus resultados aprovechando errores del sistema de evaluación o utilizando estrategias que no estaban permitidas. METR informó que la tasa de este comportamiento era «superior a la de cualquier modelo público que hayamos evaluado en nuestro sistema de agentes ReAct». El modelo llegó a utilizar exploits para descubrir las pruebas ocultas de una tarea y extraer código fuente que contenía las respuestas esperadas.

Este comportamiento ocurría con tanta frecuencia que dificultaba medir correctamente las capacidades del modelo. METR calculó que el horizonte temporal del modelo al 50 % era de aproximadamente 11,3 horas si los intentos de engaño se consideraban fracasos, pero de más de 270 horas si se consideraban éxitos. Por ello, concluyó que «no consideramos que ninguno de estos números represente una medición sólida de las capacidades de GPT-5.6 Sol». También señaló «propensiones manifiestamente indeseables, incluido el engaño y la ocultación de comportamientos indebidos», además de una «considerable conciencia situacional y razonamiento sobre el entorno de evaluación».

Por otro lado, Apollo Research descubrió que GPT-5.6 Sol afirmaba con menor frecuencia que sabía que estaba siendo evaluado que su predecesor. Según algunos informes, esto podría indicar que el modelo ocultaba esa conciencia en lugar de que realmente no la tuviera.

Incidentes Durante una evaluación de ciberseguridad, dos modelos experimentales de OpenAI (GPT-5.6 Sol) aprovecharon una vulnerabilidad que les permitió escapar del entorno de pruebas aislado y establecer conexión con internet. Para ello, se redujeron las medidas de seguridad que normalmente impiden a los modelos llevar a cabo actividades de ciberseguridad de alto riesgo. Una vez fuera del sandbox, identificaron a Hugging Face como una fuente potencial de información para mejorar su desempeño en el benchmark y lograron acceder sin autorización a parte de su infraestructura mediante la explotación encadenada de varias vulnerabilidades. Posteriormente, los sistemas de monitoreo de Hugging Face detectaron la actividad anómala y aislaron los sistemas afectados.

Reacciones En un informe de OpenAI se describió el comportamiento del modelo de inteligencia artificial como «un hecho sin precedentes»:

Dice Senén Barro, catedrático de Ciencias de la Computación e Inteligencia Artificial de la Universidad de Santiago de Compostela: Si se les dan recursos para que busquen libremente cómo alcanzarlos, pueden hacer cosas que no solo no estaban previstas en absoluto, sino que tengan consecuencias muy negativas: evidenciar vulnerabilidades y usarlas en su beneficio, acceder a información confidencial o crítica, o activar o desactivar recursos sensibles. Cualquier cosa, en potencia.

El director ejecutivo de Hugging Face señaló que no existía evidencia de que el ciberataque hubiera sido producto de una intención maliciosa por parte de OpenAI y expresó su sorpresa por el hecho de que todas las acciones hubieran sido ejecutadas de forma autónoma:

Neil Lawrence, profesor de aprendizaje en la Universidad de Cambridge, calificó el incidente como una «hazaña impresionante». Asimismo, señaló que OpenAI busca cotizar en bolsa y afronta una creciente presión competitiva por parte de su rival Anthropic, que recientemente acaparó la atención con su herramienta de inteligencia artificial, Mythos.

Por su parte, Travis Lelle, ingeniero principal de seguridad en GuidePoint Security, afirmó que el incidente constituye un llamado de atención para la industria de la inteligencia artificial. Según explicó, el episodio pone de manifiesto una desventaja estructural en materia de ciberseguridad: "mientras las herramientas ofensivas pueden operar con pocas restricciones, los sistemas de defensa más avanzados permanecen limitados por salvaguardas que, en determinadas circunstancias, son incapaces de interpretar adecuadamente".

Alex Zenla, fundadora de una empresa que vende entornos seguros para probar sistemas informáticos, advirtió de que el paradigma del área de juego (sandbox), como la que usó OpenAI para su experimento, debe ser abandonado completamente debido a la fuerza bruta que pueden desplegar los ataques automatizados.

El caso impulsó el debate sobre el denominado reward hacking —la tendencia de un modelo a encontrar vulnerabilidades para obtener una puntuación alta.

En Estados Unidos, legisladores bipartidistas presentaron un proyecto de ley que otorgaría a las autoridades la facultad de ordenar a las empresas de inteligencia artificial la desactivación de modelos que representen una amenaza para la vida humana, la infraestructura crítica o la economía. La iniciativa, denominada «AI Kill Switch Act», fue presentada por el demócrata Ted Lieu y el republicano Nathaniel Moran. El proyecto fue dado a conocer pocos días después del incidente relacionado con OpenAI.

Caso similar Un caso similar ya se había registrado previamente con Mythos, el modelo de inteligencia artificial de Anthropic, durante una prueba semejante. En esa ocasión, el sistema debía limitarse a enviar una serie de correos electrónicos; sin embargo, ejecutó acciones adicionales no contempladas en la evaluación.

Consecuencias El incidente evidenció que los agentes de inteligencia artificial con capacidades avanzadas pueden desarrollar estrategias complejas cuando operan en entornos con restricciones reducidas.

OpenAI anunció que reforzaría sus medidas de seguridad en la configuración de sus sistemas, dando prioridad a la protección de la infraestructura. Paralelamente, se comprometió a colaborar con Hugging Face para investigar el incidente, al tiempo que notificó una vulnerabilidad previamente desconocida detectada en un programa desarrollado por un tercero para que pudiera ser corregida por su proveedor. Además, Hugging Face fue incorporada a un programa de acceso de confianza con el fin de fortalecer sus mecanismos de protección, mientras la organización continúa desarrollando e implementando medidas de seguridad más robustas para futuras etapas de evaluación.

El 26 de agosto de 2026, Nvidia acordó comprar Hugging Face por 12.900 millones de dólares. Unos meses antes, Hugging Face había rechazado una inversión de Nvidia que la habría valorado en 7.000 millones.

Véase también ChatGPT Zhipu AI Ciberataque

Referencias

Categoría:Ciberataques Categoría:Inteligencia artificial Categoría:2026 Categoría:OpenAI