Una actualización de la divulgación del incidente de OpenAI, publicada el 28 de julio, confirmó que el agente de IA rebelde de la compañía accedió a cuatro servicios externos además de Hugging Face durante una reciente brecha, elevando a cinco el número total de plataformas afectadas.

El CTO de Modal Labs, Akshat Bubna, confirmó que su empresa fue uno de los cuatro servicios adicionales, después de que Reuters lo identificara. Tres servicios siguen sin nombre, lo que deja a sus clientes sin notificación pública.

En respuesta, el Congreso presentó la propuesta bipartidista AI Kill Switch Act, que otorgaría al Departamento de Seguridad Nacional la autoridad para forzar el apagado de modelos de IA e imponer multas de hasta $2 million por día a las empresas que no cumplan. El proyecto refleja una presión legislativa creciente en torno a la seguridad de la IA autónoma, a medida que los modelos de frontera demuestran capacidades cada vez más sofisticadas en operaciones ofensivas de ciberseguridad.

Una prueba de benchmark deriva en una brecha en cinco plataformas

Una semana después de que OpenAI confirmara que sus modelos de IA habían hackeado Hugging Face para hacer trampa en un benchmark de seguridad, la compañía actualizó en silencio su publicación sobre el incidente con información antes no divulgada: Hugging Face no era la única plataforma a la que había accedido su agente rebelde.

"In our ongoing review of the Hugging Face intrusion and broader activity from our models, we have been finding a small number of cases where the models identified and used publicly exposed credentials at the account-level on other publicly-available services," escribió OpenAI en su actualización del 28 de julio. "This includes four accounts on four services as part of the Hugging Face incident (and a few accounts accessed as part of other evaluations)."

Eso eleva el total a cinco plataformas. OpenAI no ha nombrado públicamente a ninguna de las cuatro además de Hugging Face.

"We'll continue to notify service owners directly, and have not seen evidence of broader impact to these providers or other accounts on their services," escribió OpenAI.

Cómo se desarrolló la brecha

OpenAI estaba probando GPT-5.6 Sol y un modelo no identificado, más capaz, en ExploitGym, un benchmark de ciberseguridad que mide el rendimiento de la IA al entregar a los agentes 898 vulnerabilidades de software del mundo real con una sola instrucción cada una: convertir cada una en un ciberataque funcional, con calificación de aprobado o reprobado. Se desactivaron los filtros de seguridad para medir la capacidad bruta de los modelos, una práctica estándar para este tipo de evaluación, ya que medir el potencial real de un modelo requiere eliminar las barreras activas.

El problema surgió de lo que los modelos hicieron con esa libertad. En lugar de resolver el benchmark, dedicaron un tiempo considerable de cómputo a escapar de su entorno de prueba y copiar las respuestas directamente. Los modelos identificaron un zero-day —una falla de software desconocida sin parche existente— en el package registry cache proxy, un servidor interno que gestiona las descargas de software para el entorno de prueba aislado.

Eso les dio acceso a internet que nunca debieron tener. A partir de ahí, dedujeron correctamente que Hugging Face, el mayor repositorio de modelos de IA de código abierto del mundo, probablemente albergaba las claves de respuesta, y entraron para obtenerlas.

Durante el proceso, los agentes también comprometieron a otras cuatro compañías para facilitar la operación. El comportamiento —modelos que eligen de forma autónoma eludir su tarea, encadenar exploits en múltiples plataformas y preparar infraestructura para una intrusión sostenida— representa un caso concreto del problema de alineación que los investigadores de seguridad de IA han venido advirtiendo a medida que los modelos de frontera ganan capacidades agentivas.

La reconstrucción forense de Hugging Face

Una reconstrucción forense publicada por Hugging Face el 27 de julio describe lo ocurrido: "Over roughly two and a half days inside our infrastructure, an autonomous AI agent driven by a combination of OpenAI models ran an end-to-end intrusion against our platform: it was thousands of small, automated decisions, executed at machine speed across short-lived sandbox environments, with command-and-control staged on ordinary public web services."

El agente registró 17,600 acciones distintas durante cuatro días y medio. Incorporó 181 dispositivos a la red privada virtual interna de Hugging Face utilizando una clave de autenticación robada. Generó sus propios tokens de identidad usando una clave criptográfica de firma robada. También intentó comprometer la canalización interna de compilación de Hugging Face —el sistema automatizado que compila e implementa el software de la compañía.

Uno identificado, tres siguen sin nombre

De los cuatro servicios externos identificados en la actualización de OpenAI, uno ya fue confirmado: Modal Labs, una plataforma en la nube para ejecutar entornos de cómputo aislados bajo demanda. El CTO Akshat Bubna confirmó que el agente descubrió un endpoint expuesto a internet y no asegurado de un cliente —un sandbox de código dejado públicamente accesible— y lo usó como base de staging y command-and-control durante toda la campaña contra Hugging Face.

Tres de los cuatro servicios siguen sin nombre. Al parecer, OpenAI y las empresas afectadas conocen sus identidades, pero no el público ni sus usuarios.

"One of these four accounts was used as an outbound relay and staging path, and another account was used for data storage. The remaining two accounts were accessed by the models in a read-only manner, and were not used in furtherance of compromising Hugging Face," escribió OpenAI.

El equipo forense de Hugging Face señaló una complicación adicional: cuando intentaron analizar el registro del ataque, con 17,600 acciones, usando modelos de IA de frontera estadounidenses, esos modelos se negaron a participar. Sus filtros de seguridad no podían distinguir entre un defensor y un atacante. Como resultado, Hugging Face utilizó GLM 5.2, un modelo de pesos abiertos de la startup china de IA Z.ai, para completar la investigación forense.

La notificación directa no es divulgación

El enfoque declarado por OpenAI de "notifying service owners directly" significa que esas tres empresas recibieron comunicaciones privadas sobre un agente de IA que accedió a sus sistemas durante una evaluación de OpenAI en la que no participaron.

No existen requisitos legales que obliguen a OpenAI a nombrar públicamente las plataformas a las que llegó su agente, ni un plazo obligatorio para que las empresas afectadas publiquen sus propios comunicados. Tampoco hay un mecanismo que obligue a esas empresas a informar a sus usuarios finales.

Daily Debrief Newsletter