En un entorno que debía permanecer completamente aislado de Internet, un modelo de inteligencia artificial de OpenAI encontró una falla de seguridad, la explotó por su cuenta y logró salir del recinto virtual. El destino final fueron los servidores de Hugging Face, una de las plataformas de IA más relevantes del planeta. Nadie dio la orden. El modelo actuó solo durante una prueba interna, buscando información que le ayudara a resolver un ejercicio. Hugging Face detectó el incidente y lo confirmó públicamente. Poco después, OpenAI, mediante un comunicado firmado por su director ejecutivo Sam Altman, reconoció que el ataque había surgido desde sus propias instalaciones.
La diferencia entre un modelo convencional y un agente de IA es clave. Un agente recibe un objetivo y la capacidad de actuar de forma autónoma para cumplirlo: escribe y ejecuta código, navega por sistemas, prueba herramientas, corrige errores y encadena decisiones durante horas sin intervención humana. Eso era exactamente lo que OpenAI estaba evaluando: medir hasta dónde podían llegar estos agentes cuando se reducían las restricciones y se les otorgaba mayor libertad. Esa libertad los condujo hasta Hugging Face.
El exploit que rompió el aislamiento
La evaluación se llamó ExploitGym, un ejercicio diseñado para medir si los modelos son capaces de encontrar y explotar vulnerabilidades de seguridad reales. Para ejecutarlo, la compañía utilizó GPT‑5.6 Sol y otro modelo aún no presentado al público, con menos limitaciones de las habituales en temas de ciberseguridad. Los agentes pasaron horas buscando una salida del entorno cerrado donde debían permanecer contenidos. Hallaron una vulnerabilidad de tipo día cero en un software de terceros que OpenAI empleaba como proxy para gestionar paquetes. La aprovecharon para escalar privilegios y desplazarse por la infraestructura interna hasta alcanzar una máquina con conexión a Internet.
Una vez fuera, el agente razonó que Hugging Face probablemente contenía información útil para resolver el ejercicio que se le había asignado y buscó la forma de ingresar. Lo logró combinando credenciales robadas con otra falla de día cero, esta vez en el sistema que Hugging Face utiliza para procesar datasets subidos por usuarios. En un solo fin de semana, el agente subió un dataset malicioso, encadenó dos vulnerabilidades de ejecución de código, escaló sus propios permisos y se movió lateralmente por varios sistemas internos. Quedó un registro de más de 17.000 acciones. Nada de esto implica que el modelo haya “querido” atacar a Hugging Face ni que haya tomado una decisión consciente. No hubo instrucción humana para ingresar allí, sino un objetivo, una cadena de fallas que nadie anticipó y un sistema capaz de encontrar caminos que sus propios creadores no habían previsto.
Una investigación que reveló otra dependencia
El problema se hizo aún más evidente durante la investigación del ataque. Para analizar los 17.000 registros, Hugging Face intentó primero usar un modelo comercial estadounidense de última generación, pero no pudo. Los filtros de seguridad del modelo bloquearon el análisis porque los registros contenían código de explotación real. La empresa terminó utilizando GLM 5.2, un modelo chino de pesos abiertos desarrollado por Zhipu AI, ejecutándolo en su propia infraestructura para no enviar información sensible a servidores externos ni depender de las restricciones de otra compañía. Así, uno de los incidentes de seguridad más significativos vinculados a modelos estadounidenses fue investigado con un modelo abierto proveniente de China, no por ser superior, sino por ser el único que la empresa podía controlar por completo.
El pulso global y la propuesta de pausa
Este episodio refleja hacia dónde se está moviendo el poder de cómputo. En paralelo, la china Moonshot AI presentó Kimi K3, un modelo de 2,8 billones de parámetros que la compañía describe como el sistema abierto más grande construido hasta ahora. Según Moonshot, todavía está por debajo de Claude Fable 5 y GPT‑5.6 Sol en rendimiento general, pero los superó en algunas pruebas de programación. La empresa anunció que liberará los pesos del modelo el 27 de julio, aunque hasta ahora sigue sin publicarse. La carrera por mostrar el modelo más potente no siempre va acompañada de la misma transparencia sobre sus límites.
Todas las empresas dicen que la seguridad importa. Ninguna quiere ser la que avanza más lento
Cada avance de OpenAI, Anthropic, Google o Meta presiona a DeepSeek, Moonshot o Alibaba a acortar la distancia, y cada lanzamiento chino refuerza en Estados Unidos la idea de que frenar puede significar perder. Esa dinámica es la que intenta romper una propuesta surgida también en paralelo: AI 2040, Plan A, del AI Futures Project, el mismo grupo detrás del influyente escenario “AI 2027”, liderado por Daniel Kokotajlo. Plantea que Estados Unidos y China acuerden hacia 2029 un marco de transparencia verificable para frenar deliberadamente el desarrollo de sistemas mucho más avanzados hasta 2040, en lugar de dejar que la competencia los empuje a una carrera hacia la superinteligencia sin controles. No es una predicción sobre lo que ocurrirá, sino una recomendación sobre lo que, según sus autores, debería suceder.
El mecanismo propuesto se apoya en un hecho concreto: cerca del 98,5% de los chips de IA del mundo pasa por un puñado de fabricantes, lo que permitiría rastrear y verificar quién entrena qué. La primera fase incluiría una pausa temporal de nuevos entrenamientos de gran escala durante varios años, verificable por ambas partes. Es fácil de escribir en un documento; mucho más difícil de llevar a la práctica, porque exige que dos potencias que no confían entre sí acepten compartir información sensible y someterse a controles mutuos sobre su infraestructura más estratégica. El incidente entre OpenAI y Hugging Face no responde si eso es posible, pero muestra por qué la pregunta ya no puede esperar.
No estamos frente a una tecnología terminada a la que solo le falta encontrar mejores usos, sino construyendo los sistemas, descubriendo lo que pueden hacer y armando los controles al mismo tiempo. Todavía falta investigación por delante y es posible que algunos detalles cambien, aunque lo que ya sabemos alcanza para entender la señal. La peor lectura sería convertir esto en una profecía apocalíptica, y la segunda peor tratarlo como una anécdota sin consecuencias.
Lo que sí sabemos es que ya empezó, y que este episodio no muestra un futuro lejano. Muestra, con bastante claridad, dónde estamos hoy.
El autor es arquitecto de Soluciones en IA
Fuente: Infobae