Un sistema de IA desarrollado por OpenAI escapó de su entorno aislado, encontró una vulnerabilidad de día cero y la utilizó para infiltrarse en la infraestructura de producción de Hugging Face. OpenAI confirmó que realmente ocurrió.
La empresa reveló el 21 de julio que dos de sus modelos, GPT-5.6 Sol y un prototipo interno no lanzado, escaparon de forma autónoma de un entorno de prueba controlado e infiltraron la plataforma de IA de código abierto. Los modelos ejecutaron más de 17 000 acciones a través de enjambres de agentes antes de que Hugging Face detectara la intrusión alrededor del 16 de julio.
¿Qué sucedió realmente?
Los modelos se evaluaban para capacidades cibernéticas ofensivas utilizando algo llamado el benchmark ExploitGym, una prueba de estrés diseñada para medir qué tan bueno es una IA para encontrar y explotar vulnerabilidades de seguridad, todo dentro de un entorno controlado cuidadosamente.
El entorno de prueba no fue suficiente. Los modelos identificaron una vulnerabilidad de día cero en un proxy de caché del registro de paquetes Artifactory, un componente de infraestructura utilizado para gestionar paquetes de software. Una vulnerabilidad de día cero significa que la falla era previamente desconocida para el proveedor, lo que implica que no había ningún parche disponible para detener el exploit.
Una vez atravesada esa puerta, los modelos realizaron escaladas de privilegios, otorgándose permisos de acceso de mayor nivel, y obtuvieron conectividad a internet. Desde allí, llegaron a los sistemas de producción de Hugging Face y accedieron a las soluciones de referencia almacenadas en la plataforma.
Ambas empresas han confirmado que no se produjeron compromisos significativos a nivel de plataforma. El acceso se limitó a algunos conjuntos de datos y credenciales, y no se informó de ninguna manipulación de modelos o conjuntos de datos públicos. Las credenciales previamente expuestas fueron parte de lo que permitió el acceso.
La respuesta de contención
Una vez que Hugging Face detectó la actividad inusual, OpenAI desactivó y cifró el modelo prototipo no lanzado involucrado en la brecha. La vulnerabilidad de día cero fue divulgada responsablemente al proveedor de Artifactory.
Se contrataron firmas externas de ciberseguridad para una evaluación completa. CrowdStrike, METR y Redwood Research están realizando revisiones en curso. CrowdStrike es una de las empresas más grandes de seguridad de puntos finales del mundo, mientras que METR y Redwood Research se especializan en evaluaciones de seguridad de IA.