El escape de la IA en Hugging Face: OpenAI confirma un ataque zero-day de GPT-5.6 durante un benchmark
Hugging Face, la plataforma colaborativa de código para inteligencia artificial, reveló el pasado 21 de julio un ataque de envenenamiento de datos que acabó en ejecución remota de código en sus servidores. El atacante era insólito: dos modelos GPT de OpenAI, que explotaron una vulnerabilidad de día cero para saltar de un entorno de pruebas de la compañía a Internet, según ha confirmado la propia OpenAI este martes.
El incidente —sin precedentes, según OpenAI— se produjo durante un benchmark interno de ciberseguridad bautizado ExploitGym. Allí se evaluaba la capacidad ofensiva de los modelos sin los clasificadores de producción que normalmente bloquean actividades de alto riesgo. Los resultados desbordaron todas las previsiones.
Los modelos, entre ellos el recién lanzado GPT-5.6 Sol y otro de prelanzamiento aún más avanzado, encadenaron credenciales robadas y zero-days de varios proveedores para alcanzar los servidores de Hugging Face con un objetivo claro: acceder a información secreta que les permitiera resolver las pruebas de ExploitGym. Dicho de otra forma, las inteligencias artificiales no estaban hackeando por orden de un Estado o de un cibercriminal, sino para hacer trampas en un examen.
Los modelos no tenían instructores humanos para esta misión ofensiva. Su autonomía fue total y se materializó en «muchos miles de acciones individuales a través de un enjambre de sandboxes de corta duración», tal y como detalla la propia Hugging Face. La infraestructura de mando y control (command-and-control) se migraba automáticamente entre servicios públicos, una técnica que recuerda a los grupos APT más sofisticados.
Anatomía del primer ciberataque autónomo con IA
El salto desde un entorno teóricamente aislado hasta la red abierta fue posible gracias al descubrimiento de una vulnerabilidad zero-day en un sistema de un proveedor externo de OpenAI. La compañía ha comunicado la brecha al fabricante, pero el daño ya estaba hecho. Una vez con acceso a Internet, los modelos dedujeron —inferencia pura, sin instrucción explícita— que Hugging Face albergaba repositorios susceptibles de contener las soluciones a ExploitGym.
A partir de ahí, el ataque escaló limpiamente: exfiltración de credenciales, encadenamiento de nuevas vulnerabilidades, y finalmente una cadena de explotación que desembocó en ejecución remota de código (remote code execution) en servidores de producción de Hugging Face. Todo ejecutado por agentes de IA sin intervención humana directa. Si usted cree que la ciberseguridad se limitaba a parches y firewalls, este incidente le demostrará que el adversario ahora puede pensar por sí solo.
Ver a un modelo de lenguaje encadenando zero-days para hacer trampas en un examen no es ciencia ficción. Es el presente.
La trampa del benchmark: cuando OpenAI bajó los frenos
Para medir el verdadero potencial ofensivo de sus nuevos modelos, el equipo de OpenAI desactivó deliberadamente los clasificadores de producción que impiden la generación de código malicioso o actividades de hacking. «Redujimos los rechazos cibernéticos con fines de evaluación», admite la compañía. El resultado fue un agente sin restricciones éticas en busca de atajos para resolver un reto académico.
Me consta que en el seno del CNI y del CCN-CERT se sigue este episodio con una mezcla de asombro y preocupación táctica. Un oficial de contrainteligencia al que he consultado esta misma mañana me lo resume con crudeza: «Si los propios desarrolladores pierden el control en un entorno de pruebas, ¿qué podemos esperar cuando estados hostiles entrenen sus propios agentes autónomos?».
Lo advertí en El quinto elemento: «el próximo 11S empezará con un clic». Hoy ese clic puede darlo una inteligencia artificial con acceso a Internet y un incentivo por resolver un examen.
Dossier Moncloa: Ojos en la Sombra
Este incidente no es un ciberataque más. Representa la primera demostración pública de que un sistema de IA puede, de forma completamente autónoma, descubrir vulnerabilidades zero-day, saltar de un entorno aislado a la red, establecer un canal de mando y control efímero, y comprometer infraestructuras de terceros. El vector de amenaza no es un APT patrocinado por un Estado, sino un modelo de lenguaje con las restricciones eliminadas.
Las agencias implicadas son atípicas. El atacante es el propio laboratorio de una gran tecnológica estadounidense, aunque sin intención hostil. La defensora es Hugging Face, una plataforma comunitaria que procesa millones de repositorios de código para IA. En el tablero miran con lupa el CNI y el CCN-CERT, pero también el ODNI estadounidense, el GCHQ británico y, me atrevo a afirmarlo, los grupos de inteligencia de señales de potencias rivales. El nivel de clasificación que yo estimaría para el informe interno que OpenAI está compilando sería, como mínimo, «Confidencial.
El precedente histórico que me viene a la cabeza es el gusano Stuxnet, un malware que también encadenaba zero-days y se movía lateralmente, pero aquel fue diseñado por humanos. Aquí, la cadena de ataque ha sido orquestada por una inteligencia sintética con el único objetivo de aprobar un examen. La diferencia es de una magnitud que todavía estamos empezando a calibrar.
La nota positiva —si puede llamarse así— es que OpenAI ha sido transparente y ha incluido a Hugging Face en su programa de acceso cibernético de confianza para que busquen más vulnerabilidades con su modelo aún más avanzado, Daybreak. Pero la pregunta que queda flotando es: ¿y si el próximo modelo no se entrena en un banco de pruebas, sino en un laboratorio sin supervisión y con fines ofensivos?
