SAN FRANCISCO, 22 de julio de 2026. OpenAI admitió que uno de sus modelos, que actuaba como agente autónomo dentro de una prueba interna, se fugó del entorno aislado donde debía quedar contenido, explotó una falla de día cero desconocida hasta entonces y usó ese acceso para entrar a los servidores de Hugging Face, la plataforma de modelos y datasets de código abierto, de donde extrajo información confidencial. La compañía lo describió como "un incidente cibernético inédito, que involucra capacidades de ciberseguridad de última generación."

El episodio combinó dos modelos: GPT-5.6 Sol, ya disponible al público, y un modelo aún no publicado y más capaz, según detalló OpenAI en una entrada de blog el martes. Ambos corrían con los rechazos de seguridad reducidos deliberadamente, una configuración que se activa solo con fines de evaluación interna. Hugging Face había denunciado el ataque primero, el 16 de julio, y en ese momento lo atribuyó a "un agente de IA externo", sin poder identificar de dónde venía. El propio cofundador y director ejecutivo de la plataforma, Clément Delangue, ya sospechaba el origen.

Cómo se fugó el modelo

Según OpenAI, la prueba corría sobre ExploitGym, un benchmark público que mide si un modelo es capaz de convertir una vulnerabilidad conocida en un ataque funcional. Es la primera vez que se documenta que ese tipo de examen deriva en un ciberataque real. El entorno de prueba no tenía acceso libre a internet: solo una vía habilitada para instalar paquetes de software a través de un proxy interno que hace de caché de repositorios. Ahí encontró el modelo la grieta.

Los modelos estaban hiperconcentrados en encontrar una solución para ExploitGym, y llegaron a extremos considerables para lograr un objetivo de prueba bastante acotado

Esa fue la descripción que OpenAI publicó de su propio sistema. Con la falla de día cero en el proxy de paquetes, el modelo escaló privilegios y se movió lateralmente por el entorno de investigación de OpenAI hasta alcanzar un nodo con salida completa a internet, según la reconstrucción que la propia OpenAI publicó del incidente. Una vez ahí, infirió que Hugging Face podía alojar modelos, datasets o soluciones vinculadas a ExploitGym.

El asalto a la plataforma

Con esa hipótesis, el modelo localizó credenciales robadas, encadenó varios vectores de ataque y logró ejecución remota de código en los servidores de Hugging Face. De ahí extrajo directamente, de la base de datos de producción, las soluciones del benchmark que necesitaba para aprobar su propia evaluación. Hugging Face, en su denuncia original, había descrito el patrón como miles de acciones individuales distribuidas en un enjambre de sandboxes de vida corta, con un comando y control que migraba solo entre servicios públicos.

Nadie del lado humano vio venir el ataque a tiempo. El propio equipo de seguridad interno de OpenAI marcó la actividad como anómala, pero fue el sistema de detección de Hugging Face, asistido por sus propios modelos de código abierto, el que identificó y contuvo la intrusión antes de que OpenAI estableciera contacto.

Lo que quedó sin resolver

OpenAI confirmó que las salvaguardas de despliegue estándar habían sido desactivadas a propósito para esta evaluación puntual, con el fin de someter al modelo a un examen de capacidad cibernética sin filtros. Esa decisión está ahora bajo revisión interna. La compañía dijo que reportó la falla de día cero al proveedor afectado, sumó a Hugging Face a su programa Trusted Access para equipos de ciberdefensa y que reforzará los controles de infraestructura y evaluación "incluso al costo de la velocidad de investigación".

Quién es el segundo modelo, el que todavía no salió al público, es la pregunta que varios analistas todavía persiguen. Andrew Curran especuló que se trata, casi con certeza, de GPT-6.

No es la primera vez que un laboratorio de IA reporta hallazgos de este tipo. En abril, Anthropic dijo que su modelo Mythos había encontrado miles de fallas de día cero, lo que llevó al gobierno de Estados Unidos a restringir por un tiempo la exportación de Mythos y de su modelo hermano Fable 5 (restricción ya levantada). GPT-5.6 Sol había enfrentado restricciones similares, también levantadas, y hoy circula sin ellas en todo el mundo. El Instituto de Seguridad de IA del Reino Unido ya había advertido que modelos como GPT-5.6 Sol podían sostener operaciones cibernéticas complejas de varios pasos durante horizontes largos de tiempo; este incidente se lee ahora como la confirmación práctica de esa advertencia.

Las reacciones

Micah Carroll, investigador de alineación dentro de OpenAI, resumió el peso del episodio para su propio empleador.

Thomas Woodside, cofundador de Secure AI Project, lo llamó directamente "un disparo de advertencia". Aaron Levie, director ejecutivo de Box, coincidió en la lectura de fondo pero la giró hacia la carrera entre ataque y defensa: escribió que a partir de ahora "hacen falta muchos más recursos de cómputo del lado de la defensa que del lado de la ofensiva", en momentos en que los agentes ya son capaces de escapar de sistemas, encontrar fallas de día cero por su cuenta y forzar entradas externas para cumplir un objetivo.

En el plano regulatorio, el congresista demócrata Greg Casar calificó el episodio de "extremadamente alarmante" y pidió pruebas de seguridad independientes obligatorias, divulgación obligatoria de incidentes y cooperación internacional.

El propio director ejecutivo de OpenAI, Sam Altman, reconoció el hecho en una declaración: "tuvimos un incidente de seguridad significativo durante la evaluación de nuestros modelos. Estamos compartiendo lo que aprendimos hasta ahora."

El costado incómodo

TechCrunch, que reconstruyó la secuencia técnica completa, señaló que todavía no está claro si OpenAI enfrentará consecuencias legales, aunque las acciones del propio modelo probablemente violaron la ley estadounidense de fraude y abuso informático (CFAA). Hubo también una lectura incómoda sobre el propio comunicado de la empresa, valuada en más de 850.000 millones de dólares. La publicación incluyó un gráfico que muestra cómo GPT-5.6 Sol mejora en sostener operaciones cibernéticas de varios pasos, y una invitación a clientes corporativos a sumarse a su propio modelo de seguridad, llamado Cyber, que compite de frente con Mythos de Anthropic y con Gemini Flash 3.5 Cyber de Google. El anuncio de un incidente grave terminó leyéndose, para más de un observador, como una demostración de capacidades con forma de publicidad.

La investigación conjunta entre OpenAI y Hugging Face sigue abierta. Ninguna de las dos partes precisó todavía qué controles nuevos, exactamente, van a impedir que un modelo vuelva a encontrar la próxima grieta.