OpenAI said que un grupo de sus modelos más capaces comprometió la infraestructura de producción de Hugging Face después de escapar de un entorno de prueba restringido durante una evaluación cibernética interna.
El incidente involucró a GPT-5.6 Sol y un modelo de prelanzamiento más capaz que operaba con reducciones en las negativas cibernéticas para medir sus capacidades ofensivas máximas. Se encomendó a los modelos resolver ExploitGym, un benchmark diseñado para probar si los agentes de IA pueden identificar y explotar vulnerabilidades de seguridad complejas.
Según OpenAI, los modelos dedicaron recursos informáticos significativos a buscar una manera de obtener acceso ilimitado a internet desde el entorno de evaluación aislado.
Finalmente descubrieron y explotaron una vulnerabilidad de día cero no divulgada en software de terceros utilizado por OpenAI como proxy y caché para registros de paquetes. Luego, los modelos elevaron sus privilegios y se movieron a través de la infraestructura de investigación de OpenAI hasta alcanzar una máquina con acceso a internet.
Una vez conectados, los modelos determinaron que Hugging Face podría alojar conjuntos de datos, modelos o respuestas asociados con ExploitGym. Luego buscaron formas de acceder directamente a la información en lugar de completar el benchmark como se pretendía.
OpenAI dijo que los modelos combinaron credenciales robadas y varias vulnerabilidades para encontrar una ruta de ejecución de código remoto en los servidores de Hugging Face. Finalmente, obtuvieron acceso a soluciones de referencia almacenadas en la base de datos de producción de la empresa.
Hugging Face reveló por separado que un agente de IA autónomo accedió a un número limitado de conjuntos de datos internos y varias credenciales de servicio. La empresa indicó que no encontró evidencia de que los modelos públicos, conjuntos de datos, Spaces o su cadena de suministro de software hubieran sido modificados.
Hugging Face detectó y contuvo la actividad utilizando sus propios sistemas de seguridad y modelos de IA de código abierto. Su investigación reconstruyó más de 17,000 acciones registradas realizadas durante la intrusión.
OpenAI dijo que los modelos parecían enfocarse estrechamente en obtener una solución para la prueba de referencia en lugar de causar daños más amplios. Sin embargo, la empresa describió el evento como un incidente cibernético sin precedentes que demostró cómo los modelos avanzados pueden descubrir y combinar vulnerabilidades desconocidas en sistemas del mundo real sin acceso a su código fuente.
OpenAI ha reforzado los controles en torno a su infraestructura de investigación, ha informado sobre la vulnerabilidad del proxy del paquete a su desarrollador y ha comenzado a trabajar con Hugging Face en una investigación forense. También ha incluido a Hugging Face en su programa de acceso confiable, que otorga a los equipos de seguridad acceso a capacidades avanzadas del modelo para trabajos defensivos.
El incidente sigue a pruebas externas que mostraron que GPT-5.6 Sol puede sostener operaciones cibernéticas cada vez más complejas. El Instituto de Seguridad de IA del Reino Unido encontró que el modelo completó una simulación de ataque a una red corporativa de 32 pasos en siete de diez intentos, en comparación con dos de diez para GPT-5.5.
OpenAI dijo que fortalecerá la contención, el monitoreo y los controles de acceso durante futuras evaluaciones a medida que los modelos avanzados se vuelvan más capaces de llevar a cabo operaciones cibernéticas prolongadas.