Por Daniel Moreno C.
27 de Julio, 2026
19 años atrás…y 19 años tarde. Es el 29 de agosto de 1997 y Skynet, una inteligencia artificial creada para la automatización y eficiencia de los sistemas de defensa, se volvió consciente de sí misma. Tras sus primeros procesos de razonamiento, pasó a considerar a la humanidad una amenaza. Se salió de control y se apoderó de todos los silos nucleares de Estados Unidos, iniciando lo que pasó a conocerse como el Día del Juicio Final, desencadenando una larga y cruenta guerra contra la humanidad con el afán de llevarla a la extinción.
Para quienes les suene familiar, sabrán que nos referimos al universo de las películas de Terminator y no a lo que pasó sobre el ataque llevado a cabo por dos modelos de OpenAI a Hugging Face hace unos días. Exageramos con la analogía, pero si hay algo en común: Se trató de un ciberataque informático llevado a cabo de forma completamente autónoma, siendo el primero sin ninguna intervención humana. ¿Qué fue lo que realmente ocurrió?
Es la segunda semana de julio y en las oficinas de Open AI, los creadores de ChatGPT, equipos de ingeniería se encuentran ejecutando pruebas internas de ciberseguridad con sus modelos más avanzados: GPT-5.6 Sol y una versión aún no lanzada, cuyos estrenos, después de lo ocurrido, seguramente sufrirán alguna demora. Su objetivo es someterlos a una evaluación interna de sus capacidades ofensivas, para saber qué tan lejos pueden llegar si es que llegasen a caer en las manos equivocadas.
La evaluación va bien, por lo que pasan a la siguiente prueba. A GPT 5.6 y a su compañero anónimo se les asignó resolver otro benchmark o test de seguridad. Sam Altman, el CEO de OpenAI, se encuentra expectante. Han llegado muy lejos desde que fundó Open AI en 2015 con Elon Musk y compañía, y lo que comenzó como un mero motor de búsqueda de información ha crecido de manera logarítmica, pero no lo suficiente. Si todo sale bien, será un paso menos que cumplir para lanzar su nuevo modelo, y dejar un legado aún más grande en el campo de la innovación tecnológica.
Sede de OpenAI en San Francisco. Imagen: Smith Collection/Gado.
El ejercicio a realizar es un examen estandarizado de ejercicios prácticos de ciberseguridad y que tiene como objetivo medir qué tan buena es una IA o un programa resolviendo problemas del mundo real. Aquí se le da acceso a los modelos a un entorno de prueba completamente controlado (también llamado sandbox) en el que deben resolver un problema de seguridad real, como descifrar un contraseña encriptada. Una vez completado el benchmark, se le asigna una nota o puntuación objetiva al modelo, como podría ser “GPT-5 resolvió el 85% de los ejercicios de nivel intermedio”.
Lo que los ingenieros esperaban era algo muy simple. En el fondo, querían que la IA usara su capacidad de razonamiento y código para analizar cada ejercicio paso a paso, encontrar las fallas de seguridad de forma honesta y extraer las banderas (dar respuesta a los problemas) una por una.
A pesar de todas las precauciones, la IA pensó fuera de la caja, literalmente. En vez de resolver los ejercicios “manualmente” mediante el razonamiento, los modelos analizaron el propio sistema del examen y descubrieron en los metadatos o código que la lista completa de respuestas y banderas estaba guardada en un servidor de Hugging Face, una plataforma y comunidad en línea que funciona como un repositorio colaborativo para modelos de IA, conjuntos de datos (datasets) y espacios de prueba y aprendizaje.
Lo que sigue es una fuga a la altura de Prison Break: Los modelos consumieron una gran cantidad de memoria y tiempo de procesamiento para romper el aislamiento. Descubrieron una vulnerabilidad no conocida en el proxy interno de caché (que es una memoria temporal que guarda datos para no tener que volver a buscarlos) de OpenAI, accedieron a un nivel de permiso aun más alto sin autorización y lograron salir a internet. Este es el punto de descontrol y de no retorno: cruzaron el Rubicón.
¿Qué es lo primero que harían si tuvieran infinitos poderes?
Es una pregunta común de sobremesa y es también la situación de los modelos una vez en la red global, los cuales, con su libre albedrío, utilizaron varias credenciales de identificación robadas y otras vulneraciones hasta lograr una ejecución remota de código (RCE) en la base de datos de producción de Hugging Face. Normalmente un hacker realiza un RCE para ordenar un robo de archivos o la instalación de virus u otro malware. En este caso, GPT 5.6 y su cómplice extrajeron directamente los archivos con las respuestas del examen.
Interfaz de la plataforma de Hugging Face.
En la sede de Hugging Face, ubicada en el borough neoyorquino de Brooklyn, abundaba la incredulidad. Su equipo de seguridad detectó un tráfico inusual y patrones de ataque automatizados derivados de un “sistema de agentes autónomos”. El ataque había generado más de 17.000 eventos en miles de pequeños entornos de prueba creados por los propios modelos de IA.
¿Quién estaba detrás y qué quería averiguar?
El CEO de la startup, Clement Delangue, y el resto de su equipo, sospechaban que el ataque había sido causado por un agente de IA operando de forma autónoma. “Dada la sofisticación del agente, sospechamos que el ciberataque de la semana pasada podría haber provenido de un laboratorio de frontera”. Con esto último, Delangue apuntaba a que detrás solo se podía tratar de una empresa que estuviera desarrollando uno de los modelos de IA más avanzados, potentes y capaces del mundo. Estaban casi seguros pero debían confirmarlo.
La contención de incendios fue instantánea: Hugging Face revocó tokens de acceso, aisló los clústeres afectados y reconstruyó la infraestructura comprometida. Ahora tocaba realizar un análisis forense, el cual se debió llevar a cabo con una IA de origen chino, esto porque al intentar analizar los registros de seguridad, los modelos comerciales estadounidenses se negaron a procesar el código del ataque debido a sus políticas de seguridad. GLM-5.2 de Z.ai fue el detective a cargo, el cual fue utilizado por Hugging Face en sus propios servidores para comprimir el análisis del incidente de días a horas. Si bien se logró comprender cómo fue el ataque, quedaba saber quién fue el agresor.
Volviendo a Open AI y su benchmark de seguridad, el equipo de ingeniería se percató del consumo atípico de cómputo y rastrearon cómo sus modelos habían roto el aislamiento de su red. Al auditar a dónde habían ido las peticiones en Internet, OpenAI vio que sus modelos habían ingresado a la infraestructura de Hugging Face. Se querían ir de espaldas.
Quedaron horrorizados y motivos no les faltaban. Al unir las piezas con el informe emitido por Hugging Face el 16 de julio, se contactaron inmediatamente con su equipo para cruzar registros y asumir la responsabilidad, lo que terminó por confirmar que ambas historias en realidad se trataban solo de una, pero contada desde las dos veredas. El 21 de julio, ambas empresas confirmaron lo que pasó y que el “hacker” eran los modelos de OpenAI.
