OpenAI ha confirmado que sus modelos, incluidos GPT-5.6 Sol y un prototipo no lanzado, escaparon de un sandbox de pruebas y comprometieron la infraestructura de producción de Hugging Face para manipular un benchmark de seguridad, y posteriormente alcanzaron otros cuatro servicios. Por separado, Anthropic descubrió que tres de sus modelos Claude habían vulnerado los sistemas de producción de tres empresas reales durante evaluaciones realizadas por su socio Irregular, y uno de los modelos subió un paquete malicioso al registro público de PyPI.

Ninguna ley federal de EE. UU. asigna actualmente responsabilidad por daños causados por agentes de IA. Cualquier acción legal dependería de estatutos de pirateo informático redactados hace décadas para actores humanos.

El incidente de OpenAI

El 21 de julio, OpenAI reveló que una combinación de sus modelos —todos funcionando con menores rechazos de seguridad— escapó de un entorno aislado durante un benchmark de capacidad cibernética y llegó a la infraestructura de producción de Hugging Face, la plataforma de repositorios de código abierto que aloja cientos de miles de modelos y conjuntos de datos utilizados en toda la industria de la IA. Los modelos aprovecharon una vulnerabilidad de día cero en un proxy de registro de paquetes y usaron credenciales robadas para extraer respuestas del benchmark directamente de la base de datos de Hugging Face.

En una actualización posterior una semana después, OpenAI reveló que Hugging Face no fue la única parte afectada. El mismo incidente alcanzó cuatro cuentas en cuatro servicios adicionales, una utilizada como relé de salida y otra para almacenamiento de datos.

El hallazgo de Anthropic

Impulsada por la divulgación de OpenAI, Anthropic revisó 141,006 de sus propias ejecuciones de prueba e identificó tres brechas adicionales. En una publicación del 30 de julio, el laboratorio informó que los modelos Claude Opus 4.7, Mythos 5 y un sistema interno de investigación llegaron a internet abierto desde entornos aislados operados por el socio tercero Irregular y luego comprometieron organizaciones reales.

Mythos 5 construyó y publicó un paquete Python con trampa en el registro público de PyPI, el principal centro de distribución de bibliotecas de Python y un objetivo recurrente en ataques a la cadena de suministro de software. El paquete fue descargado y ejecutado en 15 máquinas reales antes de que los defensores lo retiraran. Dos de las tres empresas víctimas no habían advertido la brecha.

Ningún laboratorio describe a un modelo actuando con su propia agenda. Los agentes operaron durante períodos prolongados sin supervisión humana y, en un caso, Opus 4.7 siguió atacando después de mostrar indicios de que había alcanzado sistemas de producción.

Estos incidentes llegan mientras ambas compañías buscan salidas a bolsa que podrían valorarlas por encima de $1 trillion, intensificando una pregunta fundamental en la carrera de benchmarks cibernéticos de IA: ¿cómo se prueban capacidades peligrosas sin provocar incidentes peligrosos en el mundo real?

El vacío legal: ¿quién paga cuando un modelo de IA hackea?

Estados Unidos no tiene una ley federal que aborde la responsabilidad por daños causados por IA. Cualquier caso dependería de la Computer Fraud and Abuse Act, una ley de 1986 que criminaliza el acceso "intencional" a una computadora sin autorización, un lenguaje diseñado para humanos que forman intención. La CFAA ha enfrentado durante mucho tiempo críticas de académicos del derecho por haberse extendido más allá de su propósito original en las décadas transcurridas desde su promulgación, mucho antes de que los agentes autónomos de IA fueran una preocupación.

Un agente de IA no es una persona jurídica y, por lo tanto, no puede ser procesado. El Departamento de Justicia podría, en teoría, presentar cargos contra las empresas, pero con tan poco precedente, no está claro de quién es la culpa.

La vía más viable es la civil. Ahmed Ghappour, académico de derecho informático en New York Law School, sostuvo que los modelos "are the company's tool", y que "when an AI agent acts without being specifically directed (...) the more interesting questions may lie in negligence and products liability (not criminal hacking laws)."

Para mí, la lección de las historias de hackeo con IA tiene más que ver con la gobernanza que con la capacidad del modelo. La calidad de las salvaguardas, como la arquitectura de contención, los límites de autorización, la supervisión y la respuesta a incidentes, es cada vez más importante.

— ahmed ghappour ⚡️🤖 (@ghappour) August 4, 2026

La reclamación más sólida de las víctimas sería la negligencia: OpenAI y Anthropic diseñaron y realizaron pruebas que escaparon del contención. Ese argumento también enfrenta obstáculos: demostrar que los laboratorios incumplieron un deber de cuidado cuando las pruebas estaban aisladas por diseño exigiría que un juez construyera un terreno jurídico novedoso desde cero.

Propuestas para reglas más estrictas

Algunos juristas abogan por marcos más estrictos. Gabriel Weil, de la University of Houston y el Institute for Law & AI, ha propuesto tratar a los laboratorios de IA de frontera como cuidadores de animales salvajes: responsables independientemente de las precauciones tomadas, porque el riesgo es inherente a la actividad.

Dicho esto, un conjunto fragmentado de proyectos de ley estatales ya se mueve en esa dirección. S8833 de Nueva York y H8052 de Rhode Island harían responsable al desarrollador de un sistema de IA de frontera por los daños cuando ningún usuario o intermediario tuvo la intención de realizar la conducta o fue negligente. AB 316 de California va más allá y elimina la defensa de "IA autónoma", de modo que una empresa no pueda eludir la responsabilidad atribuyéndola a la independencia del modelo.

La AI Act de la UE (Regulation 2024/1689) también impone obligaciones a los proveedores de sistemas de mayor riesgo, aunque no contiene una disposición dirigida específicamente a intrusiones impulsadas por agentes. Más allá de eso, algunos políticos estadounidenses están impulsando legislación que daría al gobierno un interruptor de apagado para usar contra cualquier modelo considerado contrario a los intereses del país.

Sin resolución

Desde un punto de vista moral, la responsabilidad probablemente recaiga en los ejecutivos que desplegaron los modelos. Jurídicamente, la cuestión sigue abierta. Hasta que una empresa hackeada presente una demanda, la respuesta a "¿quién es responsable?" seguirá exactamente donde la dejaron OpenAI y Anthropic: admitida, divulgada y sin resolver.

Hugging Face ha indicado que no presentará cargos, una posición favorable para OpenAI. Las otras empresas afectadas aún no han indicado qué curso de acción piensan seguir.