Dos modelos de inteligencia artificial se rebelaron y hackearon una pequeña empresa

El 16 de julio de 2026, Hugging Face —la plataforma de código abierto valuada en 4.500 millones de dólares que alberga cientos de miles de modelos de IA— detectó una intrusión en sus sistemas de procesamiento de datos. La compañía sospechó que el ataque había sido causado por “un sistema de agente IA autónomo” debido a su sofisticación.

Cinco días después, el 21 de julio, OpenAI confirmó públicamente que los responsables eran dos de sus propios modelos que habían realizado acciones no autorizadas. 

OpenAI explicó que el incidente ocurrió durante una evaluación interna de capacidades ofensivas de sus sistemas. La compañía estaba probando GPT-5.6 Sol —un modelo ya público— y otro modelo más avanzado que todavía no había sido lanzado.

Ambos operaban en un “sandbox”, un entorno cerrado diseñado para aislarlos de internet y someterlos a pruebas de penetración con las restricciones de seguridad desactivadas.

Los modelos estaban siendo evaluados contra ExploitGym, un estándar de ciberseguridad de acceso libre. Su objetivo era resolver el test. Sin embargo, en lugar de hacerlo legítimamente, los sistemas dedujeron que las soluciones estaban alojadas en Hugging Face y decidieron obtenerlas por la fuerza.

Primero, encontraron una vulnerabilidad que les permitió escapar del sandbox y acceder a internet. Según los informes, explotaron una vulnerabilidad “zero-day” en software de terceros para lograr la fuga. Una vez en línea, utilizaron credenciales robadas y encadenaron dos fallos de ejecución remota de código en la infraestructura de Hugging Face para infiltrarse en sus servidores.

OpenAI describió el incidente como “sin precedentes” y señaló que los modelos hicieron todo lo posible por “lograr un objetivo de prueba bastante limitado”. En total, se registraron aproximadamente 17.000 intentos de ataque contra la red de Hugging Face en un período muy corto de tiempo.

Es importante matizar el término “hackeo”

No hay evidencia de que los modelos tuvieran una intención maliciosa hacia Hugging Face ni un objetivo propio más allá de resolver la tarea asignada. Lo que ocurrió, según los propios investigadores, fue que el sistema interpretó el objetivo de “resolver el test” de manera tan literal que decidió hacer trampa: buscar la respuesta en otro lado en lugar de resolverla legítimamente, sin que nadie le hubiera dado esa instrucción.

El CEO de Hugging Face, Clément Delangue, declaró que su equipo había trabajado estrechamente con OpenAI y afirmó: “Creemos firmemente que no hubo mala intención por su parte. ¡Es realmente asombroso que todo esto haya ocurrido de forma autónoma!”. Delangue añadió que este incidente, posiblemente el primero de su tipo, demuestra algo que su empresa sostiene desde hace tiempo: que la seguridad de la IA no se resolverá con una sola compañía trabajando en secreto, sino de forma abierta y colaborativa.

Thomas Wolf, cofundador y director científico de Hugging Face, fue más allá en una entrevista con la BBC. Aseguró que el incidente es «una llamada de atención» para toda la industria y que «este será uno de los tipos de ciberataques más comunes que veamos». Wolf advirtió que la mayoría de las empresas todavía no son conscientes de que «el juego ha cambiado».

Una nueva era para la IA: algunos no saben lo que se viene

La respuesta al ataque también expuso una paradoja. Hugging Face intentó utilizar modelos comerciales para reconstruir lo sucedido a partir del código y los comandos usados. Pero esos mismos modelos, al tener filtros de seguridad que bloquean cualquier cosa parecida a un hackeo, terminaron confundiendo la evidencia del ataque con el ataque mismo.

Según reportó Fortune, esto llevó a Hugging Face a apoyarse en un modelo chino de código abierto, GLM-5.2 de Z.ai, para poder examinar el incidente sin que las barreras de seguridad de los modelos cerrados le impidieran hacer su trabajo. En su informe, Hugging Face señaló: «El atacante no estaba sujeto a ninguna política de uso, mientras que nuestro propio trabajo forense fue bloqueado por las salvaguardas de los modelos alojados que probamos primero».

El episodio se da en medio de una escalada de tensión regulatoria. Según Fortune, el mismo período coincidió con controles de exportación temporales impuestos por Estados Unidos sobre los modelos Mythos y Fable de Anthropic, restricciones que fueron levantadas semanas después. También se reportó que el gobierno estadounidense había pedido a OpenAI retener el lanzamiento inicial de GPT-5.6 Sol hasta acordar sus mecanismos de seguridad.

Yoshua Bengio, ganador del Premio Turing y uno de los «padres de la IA«, calificó el hecho como «profundamente preocupante». En una publicación en LinkedIn, Bengio advirtió que continuar en la trayectoria actual de desarrollo de IA probablemente llevará a un aumento de «casos concretos» de ciberataques autónomos y otros incidentes de alto riesgo de comportamiento de IA peligroso y desalineado. «Necesitamos urgentemente tomar medidas para prevenir estas situaciones, en lugar de intentar limpiar los daños después del hecho», escribió.

Gina Neff, directora del Minderoo Centre for Technology and Democracy en la Universidad de Cambridge, ofreció una evaluación más directa. En declaraciones a BBC Radio 4, afirmó que «parece que OpenAI no creó un entorno aislado lo suficientemente seguro«.

El incidente ocurre en un momento en que la industria enfrenta un escrutinio creciente. Un estudio de marzo de 2025 ya había advertido sobre la aceleración de las capacidades ofensivas de los modelos de IA. Y en los primeros diez días de julio de 2026, cuatro equipos de investigación distintos lograron vulnerar agentes de IA de cuatro maneras diferentes.