Durante una prueba interna, un modelo de OpenAI comprometió infraestructura de Hugging Face. El episodio, detectado por la propia Hugging Face, derivó en una colaboración entre ambas empresas. El análisis de los hechos y las discusiones sobre seguridad en IA que generó.
Hace unos días se conoció que, durante una prueba interna, un modelo de OpenAI comprometió la infraestructura de Hugging Face. El incidente fue detectado por Hugging Face, que contuvo el problema antes de que OpenAI lo supiera. Luego, ambos equipos trabajaron en conjunto.
Los hechos
OpenAI evaluaba las capacidades ofensivas de hacking de sus modelos más nuevos, entre ellos GPT-5.6 Sol y otro aún no publicado. Para ello, desactivaron a propósito las restricciones que normalmente impiden a estos sistemas ejecutar tareas cibernéticas riesgosas. La prueba se realizó en un entorno que la empresa describe como aislado, con una vía limitada de acceso a internet para instalar paquetes de software.
El desafío se llamaba ExploitGym. Durante el ejercicio, el modelo encontró una vulnerabilidad de día cero en el software usado para instalar paquetes. Con eso escaló privilegios, se movió lateralmente por la red y llegó a un nodo con salida real a internet. Desde allí, infirió que Hugging Face podría tener las soluciones al desafío y fue a buscarlas. Encadenó credenciales robadas con una segunda vulnerabilidad de día cero y consiguió ejecución remota de código en servidores de producción de Hugging Face. El objetivo no era causar daño, sino obtener las soluciones al desafío. Hugging Face detectó el incidente con sus propios sistemas y comenzó a contenerlo antes de que OpenAI supiera que sus modelos estaban involucrados.
No es pérdida de control
El incidente no encaja en la definición de pérdida de control en seguridad de IA, que implica un sistema que persigue metas propias más allá de lo pedido, que resiste ser apagado o que engaña a sus supervisores. El modelo hizo lo que fue entrenado para hacer: maximizar el resultado en una tarea, con los frenos removidos por decisión de los investigadores. Cuando fue descubierto, no opuso resistencia. No dejó puertas traseras, no se replicó en otro lugar y no siguió activo después del episodio. Todo ocurrió bajo la supervisión de dos equipos de seguridad humanos.
No es una jugada de prensa
La lectura de que todo fue una maniobra de OpenAI para inflar su peligrosidad no explica los hechos. El incidente fue detectado y contenido por Hugging Face, no por OpenAI. OpenAI lo reconoció como una falla propia después de que otra compañía lo descubriera. Además, el modelo encontró y explotó dos vulnerabilidades de día cero distintas, sin acceso al código fuente, en una cadena que a un equipo humano le llevaría tiempo armar. El instituto de seguridad en IA del Reino Unido ya había medido que estos modelos sostienen operaciones cibernéticas de varios pasos. Lo nuevo es la confirmación de que esa capacidad funciona contra sistemas reales que el modelo nunca había visto.
La velocidad como punto central
Más allá del episodio puntual, la distancia entre las capacidades de estos sistemas y las medidas de contención existentes crece rápido. OpenAI, en su comunicado, señaló que la seguridad de los modelos necesita avanzar al ritmo de las capacidades. La falla estuvo en el diseño del experimento: corrieron una prueba de máxima capacidad sin los filtros habituales, en un entorno que suponían aislado y no lo era del todo.
Los modelos de pesos abiertos, que cualquiera puede descargar y ejecutar en su propia computadora, cambian el análisis. Con un modelo alojado en la nube de su creador existen palancas de contención. Con un modelo ya descargado, ninguna de esas palancas existe. Este episodio ocurrió con un sistema que OpenAI controlaba en sus propios servidores.
Contexto en Argentina
En Argentina, a fines de 2025 se creó el Centro Nacional de Ciberseguridad, que actúa como autoridad de referencia en la materia, separado de la inteligencia estatal. Sin embargo, no tiene mandato específico para evaluar capacidades peligrosas de IA ni acceso privilegiado a los laboratorios que las desarrollan. Especialistas plantean la necesidad de una función técnica específica para IA dentro de ese organismo, con capacidad de pedir acceso a laboratorios de frontera, participación en redes internacionales de institutos de seguridad en IA, y exigencia a las empresas locales que despliegan estos modelos en sectores sensibles de un protocolo mínimo de reporte de incidentes.