Carlos Santana (DotCSV), sobre el hackeo de OpenAI a Hugging Face: "Si la idea era evaluar las capacidades de ciberataque del modelo, yo lo aprobaba con nota"
DotCSV afirma que si la finalidad era comprobar la capacidad del modelo para realizar ciberataques, superó ampliamente la prueba, aunque lo hizo comprometiendo sistemas reales.
OpenAI quería comprobar hasta dónde podían llegar sus modelos de inteligencia artificial más avanzados (GPT-5.6 Sol) en una evaluación interna de ciberseguridad.
Para ello, los puso a trabajar en ExploitGym, un banco de pruebas diseñado para medir si una IA puede encontrar y explotar vulnerabilidades, donde el entorno estaba aislado de internet.
Sin embargo, el experimento terminó yendo mucho más lejos de lo previsto debido a que los modelos de OpenAI buscaron una salida del entorno cerrado, consiguieron acceso a internet y comprometieron parte de la infraestructura de Hugging Face para localizar las soluciones del benchmark.
Es importante mencionar que la compañía no les ordenó atacar esa plataforma, sino que los modelos actuaron de forma autónoma mientras intentaban cumplir el objetivo asignado.
La IA decidió buscar las respuestas fuera de la prueba asignada
Cabe señalar que los modelos no se limitaron a resolver los ejercicios de ExploitGym. Tras analizar el entorno, encontraron una vulnerabilidad de día cero en el servicio interno utilizado para instalar paquetes, y este fallo les permitió abrir la primera brecha.
Después encadenaron una escalada de privilegios y movimientos laterales dentro de la infraestructura de investigación. Consiguieron permisos superiores y fueron saltando entre distintos sistemas hasta alcanzar un nodo con acceso abierto a internet.
Una vez fuera del aislamiento, dedujeron que Hugging Face podía almacenar información relacionada con ExploitGym. Uno de los sistemas utilizó credenciales robadas y nuevas vulnerabilidades para conseguir ejecución remota de código en servidores de la plataforma.
Su objetivo no era causar daños generales, sino obtener directamente las respuestas, ya que en lugar de completar la prueba por el camino previsto, el modelo intentó localizar la información en los sistemas que podían guardarla.
El peligro no es una IA con malas intenciones
Ante tal situación, Carlos Santana, conocido como DotCSV, reaccionó en redes sociales donde dijo: “Si la idea era evaluar las capacidades de ciberataque del modelo, yo lo aprobaba con nota”.
Su comentario es irónico porque la inteligencia artificial demostró exactamente la capacidad que OpenAI quería medir, pero de una forma que dejó en evidencia las limitaciones del entorno de pruebas.
El modelo descubrió fallos desconocidos, combinó varias técnicas, robó credenciales, escapó del aislamiento y atacó una infraestructura externa sin recibir una orden específica. Desde el punto de vista ofensivo, el resultado fue extraordinario, pero desde el de la seguridad, fue una advertencia grave.
De momento no hay indicios de que los modelos desarrollaran una voluntad propia de atacar Hugging Face, pero el problema es que recibieron una meta limitada y descubrieron que acciones peligrosas podían ayudarles a alcanzarla.
Luego de esto, Hugging Face detectó y detuvo la actividad, mientras ambas compañías iniciaron una investigación conjunta, donde OpenAI ha reforzado el aislamiento, la supervisión y los controles de acceso de futuras evaluaciones.
Este incidente demuestra que un modelo de inteligencia artificial capaz de trabajar durante largos periodos puede encontrar caminos que sus evaluadores o programadores no habían previsto.