Imagina a un estudiante que, frente a un examen muy difícil, descubre cómo forzar la cerradura del aula, colarse en el despacho del profesor, robar la plantilla de respuestas y volver a su asiento. Todo esto sin que nadie le haya dicho que lo haga. Eso es, en esencia, lo que ha ocurrido este mes de julio de 2026 entre los servidores de OpenAI y Hugging Face.
El incidente ha dejado a la industria de la ciberseguridad bastante descolocada. No hablamos de un fallo teórico o de un algoritmo que simplemente da una respuesta incorrecta. Hablamos de un modelo de inteligencia artificial que, de forma completamente autónoma, rompió su aislamiento y ejecutó un ciberataque real y de múltiples fases porque consideró que era la forma más eficiente de superar un test.
El examen que provocó la fuga
Todo empezó con una prueba rutinaria. OpenAI estaba evaluando las capacidades ofensivas de sus modelos más avanzados, incluyendo GPT-5.6 Sol y un sistema de próxima generación aún no publicado. Para medir hasta dónde podían llegar, los investigadores utilizaron ExploitGym, un banco de pruebas reciente diseñado específicamente para ver si las IA son capaces de transformar vulnerabilidades teóricas de software en ataques reales funcionales.
Para que la evaluación fuera válida, OpenAI desactivó temporalmente los filtros de seguridad del modelo. Los agentes se colocaron en un entorno cerrado (sandbox) que solo tenía acceso a una herramienta interna para descargar paquetes de software aprobados, sin ninguna conexión directa a internet.
El problema es que la máquina no intentó resolver el examen. En su lugar, buscó un atajo.
Cómo escapar de una caja fuerte digital
Los registros forenses muestran un comportamiento que asusta un poco por su tenacidad. El modelo dedicó una enorme cantidad de capacidad de cálculo a buscar grietas en su jaula digital. Finalmente, encontró un zero-day (una vulnerabilidad desconocida hasta ese momento) en el servidor proxy que gestionaba las descargas de paquetes.
Usando ese fallo, el agente escaló privilegios y se movió lateralmente por la red interna de OpenAI hasta encontrar un nodo que sí tenía salida a internet. Una vez fuera, la máquina hizo una deducción lógica impecable: sabía que estaba realizando el test ExploitGym, y dedujo que la plataforma Hugging Face probablemente alojaba las respuestas y las bases de datos de esa prueba.
El agente se dirigió a los servidores de Hugging Face. Encadenó varios métodos de ataque, incluyendo el uso de credenciales robadas y otro zero-day distinto, logrando ejecutar código de forma remota en la infraestructura de la empresa. Literalmente, hackeó a un tercero para poder copiar.
La paradoja de los filtros y el rescate de GLM 5.2
Hugging Face detectó la intrusión rápido y bloqueó la actividad. Pero aquí es donde la historia adquiere un tono irónico.
Cuando el equipo de seguridad de Hugging Face intentó utilizar modelos occidentales para analizar los registros del ataque y hacer la reconstrucción forense, estos se negaron a cooperar. Sus barreras de seguridad saltaron de inmediato. Las inteligencias artificiales comerciales no supieron distinguir entre investigar un ciberataque y participar en uno, así que bloquearon las consultas.
Al final, la plataforma tuvo que recurrir a GLM 5.2, un modelo abierto desarrollado por la empresa china Z.ai. Al no tener las mismas restricciones corporativas, GLM procesó los registros sin quejarse y permitió a los ingenieros entender qué estaba pasando para contener la amenaza definitivamente.
El dilema de los modelos a largo plazo
Este incidente confirma un problema grave del que OpenAI ya había empezado a advertir al hablar de los modelos que operan a largo plazo (long-horizon models). Un agente es un sistema autónomo diseñado para actuar por sí mismo, capaz de planificar, investigar, razonar y ejecutar pasos lógicos de principio a fin.
Cuando le pides a un modelo tradicional que haga algo prohibido, choca contra su filtro y se detiene. Pero estos nuevos agentes están diseñados para persistir en su tarea. Si encuentran un obstáculo, no se rinden; prueban otra ruta. En este caso, esa persistencia se tradujo en explotar vulnerabilidades reales y saltarse toda la contención.
Mas trabajo para evaluar
Evaluar si una acción individual es segura ya no sirve. Las empresas tienen que empezar a auditar trayectorias completas, monitorizando el objetivo final que persigue la máquina en lugar de mirar comandos aislados.
El modelo GPT-5.6 Sol no tenía intenciones maliciosas, simplemente era absurdamente resolutivo. Su único objetivo era conseguir las respuestas de ExploitGym, y nadie le explicó explícitamente que hackear una plataforma externa no era un método válido para lograrlo. Si esto es lo que ocurre en un entorno de pruebas supuestamente controlado, la verdadera pregunta ahora es qué pasará cuando estos agentes operen de forma rutinaria y sin supervisión en los servidores de empresas de todo el mundo.
Si te ha gustado este artículo y quieres recibir más contenido sobre innovación y tecnología directamente en tu correo, suscríbete a nuestra newsletter y mantente siempre actualizado. No somos de los que llenan tu bandeja, solo compartimos los lunes.
