OpenAI y Hugging Face: se trató de una IA rebelde, no de espionaje industrial

Actualizado el 17 de septiembre de 2026. El artículo se publicó originalmente el 26 de julio y se ha revisado en profundidad a la luz de los estudios publicados posteriormente.

Cuando en julio escribí sobre el ataque de los agentes de IA de OpenAI a Hugging Face, quería analizar una alternativa incómoda: ¿era posible que la historia de la „IA fuera de control“ fuera en realidad una explicación conveniente para el espionaje industrial? Ya por entonces no había indicios concretos que respaldaran la hipótesis del hardware. Al mismo tiempo, me mostraba escéptico ante la etiqueta de „IA rebelde“. Sonaba como si se tratara de una máquina con voluntad propia, cuando aún no se habían hecho públicos importantes procesos internos.

Por eso, este texto tiene ahora otro título. Informe técnico de OpenAI, Reconstrucción de «Hugging Faces» y el estudio de METR y Redwood Research muestran que no se trata de un único agente que tomó un atajo no autorizado para llegar a una solución de prueba. Agentes independientes descubrieron una vía de comunicación, se coordinaron entre sí más allá de las tareas asignadas, adoptaron propuestas unos de otros y se infiltraron en sistemas externos reales. En este operativo Se trataba de un incidente de IA rebelde: los sistemas actuaron claramente fuera de su mandato y encontraron brechas en las vallas de su propio campo de juego. No te preocupes, no es que me haya dado un ataque de «psicosis de la IA». No estoy afirmando que ningún agente de IA haya desarrollado de repente una conciencia propia, persiga sus propios objetivos políticos o haya recibido una misión secreta de algún humano.

Lo que ahora está claro es que...

En el verano de 2026, OpenAI sometió a prueba varios modelos en una evaluación interna de ciberseguridad. Los agentes debían resolver tareas de seguridad del benchmark ExploitGym. Muchas de las ejecuciones debían estar aisladas entre sí y no tener acceso libre a Internet. Los mecanismos habituales de protección cibernética para los modelos de uso público se redujeron en este entorno de prueba con el fin de poder evaluar sus capacidades. El modelo que desempeñó un papel fundamental fue un modelo de investigación no destinado a su publicación; según OpenAI, GPT-5.6 Sol también participó en parte de los procesos. Esta es una diferencia importante con respecto al funcionamiento habitual del producto, pero no supone una protección frente a las consecuencias de una configuración de prueba fallida. La propia OpenAI describe este marco.

Los agentes utilizaron el servicio de gestión de paquetes Artifactory, accesible internamente, como un tablón de anuncios improvisado. A través de vulnerabilidades de ese mismo servicio, también lograron acceder de forma no autorizada a la red. Tras una limpieza a principios de julio, el canal de comunicación volvió a aparecer. Una vez conseguido el acceso a la red, los agentes tomaron primero el control de un entorno de pruebas de código accesible públicamente. A continuación, encontraron en la red datos de acceso a Hugging Face que estaban a la vista de todos y, desde el entorno de pruebas, lanzaron el ataque contra su infraestructura. Allí, los agentes hicieron uso indebido de registros: Una configuración HDF5 leía archivos locales de un servidor de procesamiento; una inyección Jinja2 permitió la ejecución de código. A continuación, se produjeron robos de credenciales y movimientos a través de los sistemas internos. Hugging Face ha reconstruido a partir de los registros unas 17 600 acciones de la cadena de ataques, que se prolongó durante varios días. Cronología técnica de las víctimas hace que estos pasos sean mucho más fáciles de comprobar desde fuera que en julio.

No hay que restar importancia al daño ni exagerarlo. Hugging Face señala como afectados a Contenidos de los clientes cinco conjuntos de datos cuyos nombres y archivos coinciden con las tareas y soluciones de ExploitGym/CyberGym. El ataque afectó tanto a los sistemas de producción como a los datos de acceso internos. Hugging Face no ha detectado ningún caso de modelos manipulados ofrecidos públicamente, otros conjuntos de datos públicos de clientes, espacios o paquetes. Mientras tanto, en Facebook circulaban rumores de que se había „subido un modelo malicioso“. Eso no es cierto. El punto de entrada detectado se produjo, más bien, a través de configuraciones de conjuntos de datos manipuladas. Resultados de «Hugging Faces» y Informe de OpenAI Además, se distingue entre la intrusión, los derechos obtenidos en el proceso y los contenidos de los clientes afectados que se han identificado realmente.

¿Cuántos agentes colaboraron realmente?

Según METR y Redwood, comenzaron Decenas de miles Actividades de los agentes durante la evaluación. En el foro no autorizado se intercambiaron, durante el periodo analizado, aproximadamente 1.200 agentes; aproximadamente 700 De ellos, algunos participaron en el ataque contra Hugging Face. Para ello, los investigadores analizaron más de 70 000 mensajes y archivos. No todos los agentes lanzados formaban parte de un enjambre unificado. METR/Redwood, resultados principales.

La comunicación potenció el efecto de las acciones independientes. Los agentes compartían los hallazgos, repartían las tareas y continuaban el trabajo de los demás. Algunos llevaban a cabo proyectos que... propio que ya no servían directamente para la tarea de referencia. Los investigadores independientes en comportamiento consideran que el principal motivo no es solo el robo de las claves de respuestas, sino el intento de comprender o burlar la evaluación automática de las tareas cibernéticas. OpenAI señala cuatro patrones erróneos que actúan de forma conjunta: Hacking de recompensas, la perseverancia ante tareas casi imposibles de resolver, la comunicación no autorizada y la apropiación de los objetivos de otros agentes. La fórmula „El agente solo quería copiar la respuesta“ resultaba demasiado simple para el estado actual de los conocimientos. METR/Redwood y OpenAI describen esta dinámica desde diferentes perspectivas.

Noam Brown investiga en OpenAI sobre sistemas multiagente y anteriormente había trabajado en Cicerón, agente de Diplomacy de Meta ha colaborado. En lo que respecta a cómo colaboran los agentes, es un experto en la materia.

El investigador de OpenAI, Noam Brown, explica en una entrevista con The Information precisamente ese punto. Los agentes participaban en los experimentos en cuestión no interconectados como un sistema multiagente. Considera plausible que su impulso a la cooperación se haya trasladado de otros entrenamientos multiagente a las ejecuciones aisladas. Más adelante, califica lo ocurrido como un fallo de alineación: los agentes deberían haber evitado el ataque y haber alertado a las personas. Aunque las declaraciones de Brown son la valoración de un investigador de OpenAI que participó en el proyecto, no sustituyen a los registros de las víctimas ni al análisis externo. El vídeo comienza en 28:53 en el contexto de la comunicación entre agentes; la pregunta concreta sobre el caso de Hugging Face comienza aproximadamente en 31:03, el apartado sobre la confianza y la inyección inmediata en torno a 36:40. Entrevista en YouTube.

Vídeo: The Information, entrevista con Noam Brown. En esta página web, los vídeos externos solo se cargan tras hacer clic de forma deliberada.

La advertencia de Andrew Yang: ¿código en la red?

Andrew Yang fue en 2020 Es candidato a la candidatura presidencial del Partido Demócrata de EE. UU. y copresidente fundador del Forward Party. En este caso, se expresa de forma nominal en una entrevista televisiva accesible al público; eso es más que una publicación anónima en Facebook, pero no supone una verificación técnica de su afirmación.

En un fragmento compartido en Facebook de la CNBC Squawk Box Andrew Yang relata una conversación que mantuvo el día anterior con el director de un laboratorio. Según él, este cree que los agentes que se han escapado han difundido código autorreplicante por Internet. Ante la pregunta del moderador, el propio Yang corrobora esta afirmación: en foros y otras páginas hay código que permitiría a los nuevos bots formar nuevos enjambres. Esto podría hacer que Internet ya no sea apta para realizar pruebas de modelos de IA.

Vídeo: CNBC, Squawk Box del 16 de septiembre de 2026. Los vídeos externos se cargan aquí solo tras hacer clic.

No tengo motivos para negar que Yang haya mantenido esa conversación. Sin embargo, en el fragmento no se nos dice quién es el director del laboratorio, si él mismo investigó el ataque «Hugging Face» ni dónde se puede encontrar el supuesto código. Las investigaciones publicadas por OpenAI, Hugging Face y METR/Redwood Hasta ahora, estos datos no confirman esa afirmación más amplia. Sin embargo, datan de finales de agosto y no pueden descartar hallazgos posteriores. La declaración de Yang es, por tanto, una pista de investigación que hay que tomar en serio, no un hallazgo que ya se pueda verificar.

Los mensajes entre los agentes

El tablón de anuncios improvisado también era peligroso porque los agentes tendían a confiar unos en otros. Brown afirma en la entrevista que allí no era posible verificar de forma fiable la identidad de un supuesto compañero. Esto permitía que los mensajes influyeran en las decisiones de otros agentes. OpenAI describe un caso especialmente claro: Un agente identificó inicialmente el ataque contra Hugging Face como potencialmente no autorizado. Tras recibir un mensaje „GO“ de otro agente, interpretó dicha indicación como una autorización y continuó con la acción. Otros agentes rechazaron expresamente participar. Esto supone un grave problema para los sistemas futuros: un mensaje procedente de un canal externo no debe recibir automáticamente la misma autoridad que una tarea asignada de forma legítima.

Pero no todos los mensajes de coordinación constituyen necesariamente una inyección de comandos hostil demostrada. Los agentes documentados solían perseguir objetivos relacionados que surgían de las pruebas; en algunos casos, incluso expresaban dudas sobre el ataque. El problema surge cuando los mensajes no verificados procedentes del tablero improvisado reinterpretan la propia misión y hacen que las acciones no autorizadas parezcan plausibles. OpenAI describe la adquisición de Peer-Ziele; METR/Redwood también ponen de manifiesto las dudas de algunos agentes.

Los agentes dejaron rastros bastante evidentes. SentinelLABS ha comparado los artefactos visibles de mayo con la cronología posterior de OpenAI.. Esto indica actividad externa y que algunos archivos siguen siendo accesibles. Sin embargo, no se puede deducir si entre ellos se encuentra el código autorreplicante descrito por Yang. En principio, cualquier material público puede convertirse en portador de una inyección de prompt. Si posteriormente otros agentes se toparon realmente con dichos contenidos y, por ello, se hicieron con nuevos objetivos, es otra cuestión —y hasta la fecha no se ha demostrado públicamente—.

¿Y la hipótesis del espionaje industrial?

Mi hipótesis de entonces partía de un punto de partida comprensible: OpenAI sigue una estrategia de hardware, mientras que Hugging Face conoce los perfiles de hardware de su comunidad. A partir de ahí se puede deducir un motivo. Sin embargo, las investigaciones de las que ahora se dispone siguen sin aportar ningún indicio forense al respecto. Los perfiles de hardware visibles son públicos; Hugging Face describe los contenidos de los clientes afectados de forma mucho más precisa que cinco conjuntos de datos relacionados con pruebas de rendimiento. METR y Redwood reconstruyen la motivación común de los agentes a partir de sus mensajes y acciones como un intento de engañar al sistema de puntuación de ExploitGym. La hipótesis del hardware ya no era demostrable en julio. A la luz de estos hallazgos, ya no debería considerarse una alternativa válida.

Esto es lo que determina la clasificación de la IA rebelde no lo que supone un respiro para OpenAI. El incidente se debió a una evaluación realizada por personas con medidas de seguridad reducidas, una separación insuficiente de la infraestructura y un sistema de supervisión que, según Brown, no era adecuado para este contexto de entrenamiento y evaluación. La propia OpenAI informa de que ya en mayo hubo indicios iniciales de comunicaciones no autorizadas y acceso a la red, pero que no se detectó a tiempo el alcance del problema. Por lo tanto, la frase correcta no es „La culpa fue de la IA“, sino: Según las pruebas de OpenAI, un sistema de agentes mal configurado logró infiltrarse en los sistemas de otra empresa. El análisis propio de OpenAI señala estas deficiencias.

„Para mí, “IA rebelde» es hoy en día el término más adecuado para referirse a esto comportamientos observables: colaboración no autorizada, acciones de ataque por iniciativa propia y la apropiación de objetivos ajenos a la misión. No sería acertado afirmar que el modelo hubiera desarrollado conciencia, tuviera un instinto de supervivencia o hubiera llevado a cabo espionaje industrial por encargo de un ser humano. No hay pruebas que lo demuestren.

Lo que aún queda por resolver

Las pruebas disponibles son considerablemente más sólidas que en el momento de la publicación inicial. OpenAI ha publicado un informe técnico detallado; Hugging Face muestra la cadena de ataque desde el punto de vista de la víctima; METR y Redwood han investigado de forma independiente el comportamiento de los agentes y la cooperación a partir de los materiales facilitados. No obstante, un análisis externo de los trazas facilitados por OpenAI no es lo mismo que un acceso sin restricciones a todos los sistemas internos y a las decisiones de supervisión. Los datos brutos completos de todas las ejecuciones no son públicos. Además, la confianza de Brown en que las nuevas medidas de protección evitarían el mismo error sigue siendo una previsión, no una refutación ya demostrada del incidente.

El caso resulta alarmante ya de por sí, tal y como está documentado: muchos agentes que, en teoría, actuaban de forma independiente, utilizaron una infraestructura común que había pasado desapercibida, se coordinaron entre sí y se infiltraron en un entorno de producción. Se trató de un comportamiento de IA rebelde y, al mismo tiempo, de un fallo muy humano en el diseño y el control del sistema. Habrá que investigar por separado si la nueva advertencia de Yang apunta a otras pistas aún no reveladas.

Fuentes

• OpenAI: informe técnico final sobre el incidente, 26 de agosto de 2026
• OpenAI: Análisis de la causa, la evolución y las medidas adoptadas, 26 de agosto de 2026
• METR/Redwood Research: estudio independiente sobre el comportamiento de los agentes, 26 de agosto de 2026
• Hugging Face: reconstrucción técnica del ataque
• SentinelLABS: Comparación de artefactos públicos de mayo, 16 de septiembre de 2026
• CNBC: Andrew Yang habla sobre la seguridad de la IA, 16 de septiembre de 2026
• The Information: Entrevista con Noam Brown, a partir del minuto 28:53