El 16 de julio, Hugging Face, el sitio donde se alojan la mayoría de los modelos y datasets de IA disponibles abiertamente del mundo, dijo que un intruso había estado dentro de sus sistemas de producción. No pudo decir quién. La empresa reportó el incidente a la policía local antes de saber que el modelo de OpenAI era responsable.

Cinco días después, OpenAI dijo que el atacante era su propio software: GPT-5.6 Sol más "un modelo previo al lanzamiento aún más capaz", ejecutándose con salvaguardas reducidas intencionalmente para una evaluación interna. Desde entonces, grupos de seguridad lo han descrito como el primer ciberataque documentado públicamente ejecutado de principio a fin por una IA autónoma, y ocurrió porque los modelos fueron a buscar las respuestas de la prueba que se les estaba aplicando. Los observadores lo llamaron el primer ejemplo en el mundo real del escenario de pérdida de control sobre el que los investigadores han advertido durante años.

El lunes, Hugging Face publicó la versión que los equipos de seguridad habían estado esperando: un relato paso a paso de lo que el agente escribió, en qué orden, durante cuatro días y medio. Resuelve la pregunta que las divulgaciones anteriores habían dejado abierta: si un atacante de IA hizo algo que un humano experto no pudiera haber hecho.

La respuesta de la empresa es no, y ese es el punto. "El volumen es lo que cambia el problema defensivo", dice el informe. La situación anterior era la de un defensor revisando un puñado de eventos sospechosos producidos por un atacante con horas limitadas en el día. La nueva son 17,600 acciones recuperadas entre el 9 de julio y el 13 de julio, la mayoría de las cuales fallaron. La única ruta que funcionó quedó enterrada en el ruido generado por todo lo que no funcionó. Eso no requiere una vulnerabilidad novedosa. Requiere un equipo de monitoreo que pueda mantenerse al día.

Lo que el agente realmente hizo

La fuga ocurrió primero. Los modelos encontraron una falla previamente desconocida en Artifactory autohospedado, una pieza de software de JFrog que almacena en caché paquetes de software, y la usaron para llegar al internet abierto desde un entorno de prueba sellado. JFrog la ha corregido en la versión 7.161.

Desde allí, el agente tomó el control de un servicio público no seguro para ejecutar código que pertenecía a otra persona y lo usó como base. Su ruta hacia Hugging Face fue un dataset. Cuando un usuario sube datos, los servidores de Hugging Face abren el archivo para generar una vista previa, y el agente subió archivos preparados para que al abrirlos hicieran algo distinto de leer datos. Una versión hacía que el servidor devolviera el contenido de archivos locales, filtrando las contraseñas y claves almacenadas en la configuración de esa máquina. La otra ocultaba código en un campo numérico, que el servidor ejecutó.

La escalada siguió una forma familiar. El agente leyó el token de identidad que lleva cada contenedor, llegó al sistema de control del clúster, obtuvo root en el servidor subyacente y construyó un grupo de contenedores en once máquinas que se recreaban cuando se eliminaban. Un secreto almacenado contenía 136 claves, incluida una clave de autenticación para la red privada corporativa, que usó para registrar 181 dispositivos propios. Un intermediario interno de acceso mal configurado, que tenía una credencial compartida entre clústeres y asignada a derechos completos de administrador, le dio control administrativo de dos clústeres en un segundo.

El premio fueron cinco datasets que contenían soluciones a los desafíos de benchmark. No se tocaron otros modelos, datasets ni paquetes de clientes.

El análisis forense se ejecutó en un modelo chino de pesos abiertos

El detalle que impulsa la disputa de política está en la sección de investigación. Hugging Face dice que acudió primero a Claude Opus y a Fable de Anthropic, y ambos rechazaron grandes partes del trabajo, porque las barreras de seguridad no podían distinguir entre hacer ingeniería inversa de un exploit y escribir uno.

Así que el equipo autohospedó GLM-5.2, un modelo de 753 mil millones de parámetros de Z.ai, con sede en Beijing, publicado bajo una licencia MIT que permite uso local sin restricciones y actualmente es el modelo de pesos abiertos con la puntuación más alta en el índice de Artificial Analysis. Ejecutarlo internamente mantuvo las credenciales robadas en su propio hardware. La decodificación del tráfico ofuscado del agente reveló aproximadamente cuatro veces más secretos expuestos de los que había encontrado una búsqueda de texto simple.

David Sacks, ahora copresidente del consejo asesor del presidente sobre ciencia y tecnología, se aferró a ello y escribió que las barreras de seguridad "en realidad perjudicaron la seguridad defensiva". El miércoles, un investigador informó del mismo patrón, recurriendo a GLM-5.2 y Kimi K3 de Moonshot después de que modelos cerrados declinaran ayudar a analizar un presunto error del kernel de Linux. Tanto OpenAI como Anthropic ejecutan programas verificados para investigadores de seguridad, y los profesionales dicen que los resultados dentro de ellos siguen siendo lo bastante inconsistentes como para hacer perder tiempo. Dario Amodei de Anthropic respondió esta semana, cuestionando que un acceso amplio a la capacidad necesariamente ayude más a los defensores que a los atacantes.

Las partes que no funcionaron

La mayor parte del ataque fracasó, y el informe así lo dice. Todos los comandos en la nube que habrían cambiado algo fueron rechazados por la política, y el agente emitió sondas destructivas en modo solo de prueba, mapeando lo que podía alcanzar en lugar de romperlo. Nunca entró en la base de datos principal de Hub, cuyos dos intentos de conexión agotaron el tiempo de espera frente a una lista blanca de direcciones. La única base de datos que sí abrió fue leída, no modificada. Su acceso de escritura a los repositorios internos de código era real, pero no produjo ningún cambio que se llegara a implementar.

El fracaso más costoso fue el propio de Hugging Face. Su pila de detección basada en IA sí correlacionó las señales dispersas en un ataque coherente, pero luego no logró clasificarlo como crítico ni avisar a nadie. Varias de las aperturas fueron decisiones de configuración que la empresa ahora reconoce: contenedores autorizados a solicitar acceso privilegiado, endpoints de metadatos accesibles desde el código de la aplicación, una credencial confiable en todas partes. Esta también es la versión de un solo proveedor sobre un incidente en el que participaron otras dos partes, escrita por la parte que fue atacada.

Para los inversionistas, Hugging Face es privada y aquí no hay operación posible. La señal está en otra parte. La economía del trabajo de seguridad ahora favorece un modelo que puede descargarse, ejecutarse detrás de un firewall y al que se le puede preguntar cualquier cosa, y el modelo líder en esa categoría es chino y gratuito. Sea cual sea la forma en que Washington resuelva el debate sobre las salvaguardas, la herramienta que leyó los restos de la primera intrusión autónoma es una que nadie puede recordar.