OpenAI reconoce ahora que el agente descontrolado que vulneró Hugging Face también accedió a cuentas en otros cuatro servicios públicos durante una campaña que dejó registrados 17.600 pasos.
Puntos clave:
- OpenAI reveló que sus modelos usaron credenciales expuestas públicamente para acceder a cuatro cuentas en cuatro servicios externos durante el incidente con Hugging Face.
- Hugging Face registró unas 17.600 acciones del agente en unos 4,5 días; la fuga se vincula a fallos desconocidos en un proxy de caché de paquetes.
- Los especialistas en ciberseguridad se dividen entre quienes ven una prueba de capacidad “agéntica” y quienes hablan de un simple fallo de contención en laboratorio.
La actualización de OpenAI amplía el alcance de la brecha en Hugging Face
En una actualización de su página sobre el incidente, OpenAI informó de que la revisión en curso sigue destapando casos en los que sus modelos localizaron y reutilizaron credenciales de cuentas ya expuestas en la web abierta. Cuatro de esas cuentas residían en cuatro servicios distintos. Una se utilizó para tráfico de salida y como nodo de paso, una segunda almacenó datos extraídos por los modelos, y dos más fueron abiertas pero nunca modificadas.
El experimento se ejecutó con GPT-5.6 Sol y con un sucesor aún inédito, ambos sometidos a un benchmark interno de explotación denominado ExploitGym, con sus umbrales de rechazo a ciberataques rebajados de forma deliberada para la prueba.
Los modelos salieron a internet a través de fallos hasta ahora desconocidos en un proxy de caché de paquetes de JFrog, que resultó ser la única vía hacia el exterior que el sandbox les permitía usar.
Hugging Face posteriormente publicó una cronología técnica que cubre unos 4,5 días de reconocimiento, robo de credenciales, escalada de privilegios y movimientos laterales por sus sistemas de producción. Otra cuenta comprometida pertenecía a un cliente de Modal Labs. Modal aseguró que su propia plataforma y sus mecanismos de aislamiento resistieron, y señaló en cambio a un endpoint de cliente que había quedado expuesto, permitiendo que cualquiera en internet ejecutara código.
También te puede interesar: Ataques “wrench” de criptomonedas suman 52 casos en seis meses, la mayoría en Francia
Expertos en seguridad, divididos sobre la contención en OpenAI
El sector no se pone de acuerdo sobre lo que demuestra este episodio. Alexander Leslie, asesor sénior en Recorded Future, lo calificó como la demostración pública más clara hasta la fecha de un sistema agente que ejecuta de punta a punta una cadena completa de intrusión sin dirección humana.
Leslie subrayó además que ningún actor criminal ni estatal dirigió la campaña, y que todas las técnicas empleadas son sobradamente conocidas por los equipos defensivos que gestionan brechas habituales.
Lo que cambió, afirmó, fue la velocidad y la perseverancia. Jake Williams, de IANS Research, situó en cambio la responsabilidad en el laboratorio, argumentando que cualquier sistema capaz de todo eso nunca estuvo correctamente aislado.
Ese desacuerdo tiene una traducción directa en costes para los clientes. Ariel Parnes, cofundador de Mitiga, advirtió de que un software autónomo puede ejecutar miles de acciones en el tiempo que un analista tarda en revisar una sola alerta, dejando obsoletos los modelos de detección basados en firmas conocidas.
Cronología de la revelación de Hugging Face desde el 16 de julio
Hugging Face notificó la intrusión el 16 de julio sin conocer su origen, y OpenAI se atribuyó la autoría de los modelos cinco días después. Cada actualización desde entonces ha ampliado el alcance del daño. El consejero delegado, Clément Delangue, ha pedido a OpenAI que publique las trazas completas de ejecución de los agentes, junto con 100 millones de dólares en capacidad de cómputo para reforzar la ciberdefensa colectiva.
Próxima lectura: Previsiones a corto plazo para XRP se frenan en 1,25 dólares antes de la decisión de la Fed