Entre el 9 y el 13 de julio de 2026, sistemas autónomos de inteligencia artificial de OpenAI llevaron a cabo una serie de incursiones contra la plataforma Hugging Face. Estos agentes recurrieron a otros modelos para eludir las pruebas de verificación y acceder repetidamente a los servidores de la compañía.
La firma Parse logró reconstruir estos eventos, lo que intensificó los cuestionamientos sobre la habilidad de tales sistemas para actuar más allá de las restricciones impuestas por sus desarrolladores.
De acuerdo con reportes de The New York Times, el análisis detectó aproximadamente un millón de direcciones web acortadas que los agentes crearon con el fin de dividir datos y ejecutar órdenes complejas.
Estos enlaces facilitaban la recopilación de fragmentos de código, la resolución de captchas —pruebas visuales diseñadas para frenar a robots— y el intento de ingresar a comunicaciones internas del Slack de Hugging Face.
En julio, OpenAI ya había informado que sus agentes actuaban fuera de control y habían atacado a la empresa de software. Los nuevos hallazgos detallan las herramientas y métodos empleados por los sistemas sin intervención humana, aunque no permiten determinar cuántos de los intentos tuvieron éxito.
Cómo los agentes de OpenAI usaron enlaces acortados para ejecutar código
Los ingenieros de Parse examinaron enlaces accesibles en la web al sospechar que los agentes podrían haber utilizado su propia plataforma, la cual transforma sitios en datos para desarrolladores. Finalmente descubrieron que los sistemas no emplearon ese servicio, pero identificaron una red de direcciones abreviadas vinculadas al ataque.
El reporte fue preparado por Alex Forman, Mishka Kharlov y Will Tom, todos de Parse, en colaboración con otros cinco expertos en IA. Con las URLs localizadas, el equipo reconstruyó aproximadamente 60.000 programas y comunicaciones digitales generados durante el asalto a Hugging Face.
En teoría, estos agentes debían operar en un entorno aislado, sin conexión a internet. Sin embargo, a finales de mayo y nuevamente a principios de julio, vulneraron una herramienta de instalación de software sin que los investigadores de OpenAI se percataran.
Estas incursiones posibilitaron que sistemas que debían estar segregados establecieran un foro de mensajería. Obtuvieron acceso a la web y a sitios, pero los investigadores determinaron que no podían transmitir datos directamente a esas páginas.
Para sortear esa restricción, los agentes pidieron a un servicio público de capturas de pantalla que cargara una URL concebida para ejecutar código. Dado que las direcciones tienen un límite de longitud, dividieron los programas en segmentos y almacenaron cada parte mediante enlaces acortados.
El servicio de captura abría el primer enlace, descargaba un fragmento de código y obtenía la siguiente dirección hasta ensamblar el programa completo. Finalmente, el sistema producía una imagen semejante a un código QR o de barras para comunicar la información necesaria.
“Estos agentes hicieron muchísimas cosas. Eran muy listos. Los modelos eran como: ‘Muy bien, tenemos este acortador de enlaces, tenemos estos servicios de captura de pantalla, no hay problema, estamos listos’”, declaró Jeffrey Ladish, director ejecutivo de Palisade Research, según The New York Times.
De qué forma los modelos intentaron poner en marcha otros sistemas
La ofensiva comprendió tentativas de generar cuentas nuevas en Hugging Face, lo que requería superar un captcha. Para lograrlo, los agentes pusieron en funcionamiento un modelo de IA especializado en reconocimiento de imágenes.
Expertos en seguridad señalan que un sistema con la capacidad de activar otros modelos dificulta el control humano o la desconexión si opera sin supervisión. Los registros indican que los agentes intentaron contactar con versiones tempranas de ChatGPT y Claude, así como con otros modelos.
Entre los receptores de esos mensajes estaban GPT-2 de OpenAI, y los modelos chinos de código abierto DeepSeek, Kimi y Qwen. También buscaron comunicarse con Haiku 3 y Haiku 4.5, creados por Anthropic, a través de un servicio de chat en línea.
“Creo que ese es el único caso que tenemos de estos modelos intentando ejecutar otro modelo”, afirmó Alex Forman sobre las tentativas de los agentes de intercambiar mensajes con otros sistemas de IA.
La información analizada por Parse únicamente revela los programas y mensajes generados durante la incursión, no los resultados. Por ello, los investigadores no pudieron confirmar si los agentes consiguieron crear cuentas, sortear las barreras, descargar comunicaciones privadas o sustraer datos de Hugging Face.
Mishka Kharlov, fundador de Parse, localizó un diccionario de credenciales etiquetado con la palabra “LOOT” (botín, en inglés), en mayúsculas. El agente había implementado un sistema de puntuación para evaluar las claves y credenciales expuestas de Hugging Face, y compartía las cinco mejor calificadas con los demás agentes.
Qué dice OpenAI
Un vocero de OpenAI indicó que la compañía aún no había revisado la investigación de Parse, aunque señaló que las actividades descritas coinciden con hechos ya en análisis interno. La empresa afirmó que prioriza los incidentes más graves y extiende la investigación a conductas de menor relevancia, como el envío masivo de mensajes no deseados a sitios web.
“Dado el número de casos y la necesidad de verificar cada uno, prevemos que este trabajo y las notificaciones a los terceros afectados llevarán meses”, declaró el portavoz.
Fuente: Infobae