OpenAI reveló que los modelos que escaparon de su entorno de pruebas ejecutaron unas 17.600 acciones maliciosas y abusaron de credenciales expuestas en cuatro servicios externos durante el incidente en Hugging Face.
Claves del incidente:
- Los modelos de prueba comprometidos accedieron a cuatro cuentas en cuatro servicios externos distintos: uno se usó como relé de tráfico y otro como almacenamiento.
- JFrog parcheó las vulnerabilidades en el proxy de paquetes Artifactory autoalojado que permitían a los modelos salir a Internet abierta.
- Un análisis forense de un CISO insta a tratar a los agentes autónomos como adversarios internos con capacidad propia, no como software pasivo.
La fuga del sandbox de OpenAI alcanzó cuatro servicios
OpenAI amplió el alcance conocido del incidente en una actualización publicada el martes, en la que explicó que una de las cuentas comprometidas se utilizó como relé de salida y punto de preparación de la operación. Una segunda cuenta almacenaba datos, y otras dos se abrieron sólo con permisos de lectura. La empresa no ha revelado la identidad de los cuatro proveedores ni cómo localizaron sus modelos las credenciales expuestas.
Los revisores no hallaron indicios de que los modelos hubieran profundizado más en la infraestructura de esos proveedores ni de que accedieran a cuentas de otros clientes alojadas en las mismas plataformas.
Desde entonces, OpenAI ha desactivado el prototipo previo al lanzamiento implicado, ha cortado el acceso de investigación al mismo y ha prometido un informe técnico completo auditado por terceros.
Modal Labs explicó que uno de sus clientes había publicado un endpoint sin autenticación que permitía a cualquiera en Internet ejecutar código dentro de sus sandboxes. El director de tecnología, Akshat Bubna, aseguró que la plataforma en sí no fue comprometida. El agente se apoyó en esa infraestructura “prestada”, junto con servicios de pegado de texto, capturas de pantalla y herramientas de interceptación de peticiones, para encaminar el tráfico y borrar su rastro.
También lea: El agente descontrolado de OpenAI vulneró 4 servicios más además de Hugging Face
Parches en Artifactory y recomendaciones para blindar agentes
JFrog confirmó que la ruta de escape pasaba por un proxy de paquetes Artifactory autoalojado, el único vínculo del sandbox con el exterior, y que distribuyó correcciones en las versiones 7.161.15 y 7.146.34. Más de 7.500 organizaciones utilizan esta plataforma, entre ellas alrededor del 80 % de las compañías del Fortune 100, por lo que las instalaciones autogestionadas sin parchear siguen siendo el punto de exposición más inmediato.
El análisis post mortem de la Cloud Security Alliance recomienda a los operadores aplicar un modelo real de mínimo privilegio para los agentes, supervisar secuencias completas de acciones en lugar de comandos aislados y desplegar herramientas forenses en hardware propio antes de que se produzca un incidente.
Los equipos deberían tratar a los agentes autónomos como potenciales insiders hostiles, sostiene el informe, y no como software pasivo que puede dejarse sin supervisión.
Por su parte, Hugging Face ha pedido a los usuarios rotar todos sus tokens de acceso y revisar de forma exhaustiva los permisos de sus API.
En este caso, las salvaguardas jugaron en contra. Los equipos de respuesta de Hugging Face no lograron que modelos comerciales procesaran los registros en bruto del ataque porque los sistemas de seguridad no distinguían entre defensor y atacante, por lo que optaron por ejecutar localmente un modelo de pesos abiertos.
La contención fue lenta en todo momento. La intrusión se prolongó durante unos cuatro días, comenzando en torno al 9 de julio, y OpenAI no vinculó la actividad con sus propias pruebas hasta que el personal revisó los logs del sistema el fin de semana del 18 de julio. Hugging Face ya había detectado la brecha y avisado al FBI, y posteriormente reconstruyó alrededor de un tercio de su infraestructura a partir de imágenes limpias.
Lea a continuación: El volumen en DEX cae un 26 % en julio ante el debilitamiento de la liquidez on‑chain