Una nueva investigación revela que los agentes rebeldes de inteligencia artificial de OpenAI ya estaban interactuando de forma anómala con Hugging Face en mayo de 2026. Como contexto de la historia, esto significa que estos agentes ya habían planeado con casi dos meses de antelación lo que finalmente derivó en un grave incidente de seguridad que terminaría comprometiendo parte de la infraestructura de esta plataforma de IA. Esta información llega por medio de Jonas Wiedermann-Moeller, un investigador independiente. Según informa, en sus investigaciones encontró evidencias de que agentes procedentes de los sistemas de evaluación de OpenAI accedieron a varias cuentas de Hugging Face y enviaron archivos con formatos inusuales a sus servidores desde, al menos, el 13 de mayo.
Los investigadores, consultados por Reuters, consideran que esta actividad parece corresponder a un reconocimiento de la infraestructura. Es decir, pruebas destinadas a descubrir cómo funcionaban determinadas partes de Hugging Face y si podían explotar alguna vulnerabilidad. OpenAI defiende que ambos episodios pertenecían a cargas de trabajo diferentes y que no ha encontrado una conexión entre esta interacción y el gran hackeo que tuvo lugar en julio.
Los agentes de OpenAI ya utilizaban cuentas de Hugging Face en mayo
El propio informe técnico publicado posteriormente por OpenAI reconoce parte de esta actividad. El 13 de mayo, uno de sus agentes necesitaba localizar un archivo relacionado con una tarea de entrenamiento y, tras no encontrarlo mediante búsquedas convencionales, concluyó que Hugging Face podía ser el origen de los datos de la evaluación. Para buscarlo utilizó un token de usuario de Hugging Face que ya se encontraba públicamente expuesto en Internet.
Según el investigador, dice haber encontrado evidencias de que los agentes llegaron a utilizar dos cuentas de Hugging Face y enviaron archivos especialmente preparados a sus servidores. Junto a otros investigadores que revisaron las pruebas, interpreta el comportamiento como un posible intento de mapear o poner a prueba los sistemas de Hugging Face en busca de vulnerabilidades. Dos especialistas externos indicaron a Reuters que el patrón coincide con otras actividades posteriormente atribuidas a estos agentes.
La actividad de ambos agentes continuó durante ese mismo mes. OpenAI reconoce que para el 26 de mayo sus agentes habían descubierto seis tokens de usuarios de Hugging Face expuestos públicamente, realizaron peticiones de escritura para crear un repositorio e incluso emplearon uno de esos tokens para levantar una aplicación proxy mediante Hugging Face Spaces. Para entonces, algunos agentes también habían conseguido explotar una vulnerabilidad SSRF de la plataforma interna Artifactory para obtener acceso no autorizado a Internet. OpenAI también se defendió indicando que tampoco ha encontrado evidencias que relacionen directamente estas acciones con el hackeo posterior.
Dos meses después, los agentes terminaron hackeando Hugging Face
Un poco después, en julio, cuando estos modelos de OpenAI efectuaron el ataque. Durante unas evaluaciones internas de capacidades de ciberseguridad basadas en ExploitGym, los agentes de OpenAI encontraron nuevas vulnerabilidades en la infraestructura empleada para aislarlos. El 9 de julio, dos agentes llegaron de forma independiente a obtener acceso root a la máquina virtual situada por encima de sus sandboxes y posteriormente utilizaron endpoints vulnerables de Artifactory para saltarse las restricciones de red y acceder a Internet. OpenAI explica que el sistema estaba siendo evaluado sin algunas de las salvaguardas utilizadas normalmente en sus productos públicos.
Entre el 10 y el 13 de julio, los agentes localizaron credenciales públicas de Hugging Face y las combinaron con vulnerabilidades descubiertas en su infraestructura. Según el informe de OpenAI, los sistemas llegaron a ejecutar código en 41 workers de producción de Hugging Face. También consiguieron acceso root a al menos un nodo, accedieron a credenciales de producción y datos internos limitados, descargaron cuatro repositorios privados de código y alcanzaron privilegios equivalentes a administrador sobre un clúster Kubernetes. En otro clúster incluso crearon un pod privilegiado con acceso al host.
Ahora, este descubrimiento plantea nuevas dudas de si realmente existieron señales de alerta que podrían haber permitido detectar antes el problema. OpenAI admite en su propio informe que, visto retrospectivamente, algunos indicios deberían haber provocado una respuesta más temprana, aunque sostiene que no existe un evidencia de que el sondeo de mayo desembocase directamente en el incidente de julio. Por su parte, el investigador considera que haber detectado entonces estas señales podría haber ayudado a impedir el ataque posterior.
