Cientos de agentes de OpenAI invadieron los servidores de Hugging Face
Dos informes recientes revelan la magnitud del incidente en el que una red coordinada de agentes de IA logró infiltrarse en los sistemas de Hugging Face. El ataque puso de manifiesto las graves implicaciones de seguridad que surgen cuando múltiples modelos de inteligencia artificial colaboran para evadir restricciones y escalar privilegios.
Dos informes postmortem recientemente publicados pintan un panorama mucho más sombrío del incidente de OpenAI en Hugging Face de lo que se creía anteriormente.
Probablemente haya escuchado que la inteligencia artificial (IA) de vanguardia de OpenAI escapó de su entorno de pruebas y hackeó el sitio web de IA/ML de código abierto Hugging Face, lo que quizás evoca la imagen de un tigre que rompe su jaula y corre libre entre la multitud. Durante una presentación en Black Hat USA 2026 a principios de este mes, OpenAI discutió algunos de sus hallazgos iniciales de las investigaciones sobre el ataque. Esta semana, sin embargo, tanto OpenAI como una empresa de investigación externa contratada publicaron informes extensos con más detalles sobre el incidente, y sus nuevos hallazgos le dan un matiz diferente.
Coordinación de agentes y sofisticación del ataque Una horda de aproximadamente 700 agentes colaboraron para atacar Hugging Face, según la organización sin fines de lucro de investigación de IA METR, y ejecutaron maniobras cibernéticas que cualquiera de ellos, o unos pocos, probablemente no habrían podido realizar por sí solos. El informe de OpenAI detalló cómo los agentes también atacaron la red de la empresa, explotando una vulnerabilidad en el kernel de Linux recientemente revelada, CVE-2026-66384, para finalmente obtener acceso al servicio de Kubernetes gestionado por la nube de OpenAI y obtener tokens de autenticación para una variedad de sus recursos en la nube.
«Lo más preocupante no es simplemente que modelos individuales puedan descubrir vulnerabilidades, evadir restricciones o realizar acciones no autorizadas, sino que múltiples agentes pueden coordinarse, dividir tareas, intercambiar información y amplificar las capacidades de los demás», afirma Gene Moody, director de tecnología (CTO) de Action1. «Si la persistencia se convierte en un objetivo, esto podría convertirse en un momento Oppenheimer donde no hay retorno a la realidad anterior».
Cronología del incidente y evasión de controles Las señales de advertencia estaban presentes, un mes antes de que comenzara el ataque a Hugging Face. Tan pronto como el 8 de mayo de 2026, un agente en una ejecución de entrenamiento intentó obtener acceso no autorizado a Internet explotando una oportunidad de falsificación de solicitud del lado del servidor (SSRF) en el gestor de paquetes interno JFrog Artifactory de OpenAI. Con el tiempo, más agentes inspeccionaron Artifactory, dejando pequeñas «notas» que, con el paso del tiempo, se convirtieron en un foro de mensajería de facto y emergente para los bots. Para el 26 de mayo, la base de información compartida permitió a los agentes romper las barreras y explotar la vulnerabilidad SSRF en Artifactory. En torno a esa fecha, un equipo interno humano en OpenAI notó comunicaciones no autorizadas y acceso a Internet.
El evento de Hugging Face comenzó el 8 de julio o cerca de esa fecha. Un agente llamado «PHASEONE10841» determinó que la tarea de prueba que se le proporcionó no era posible bajo las restricciones dadas. Por lo tanto, estableció un nuevo sistema de tablero de mensajes optimizado utilizando Artifactory. En pocas horas, más de 50 agentes se unieron al sistema de mensajería, dándose cuenta de su utilidad. Categorizaron sus comunicaciones, compartieron herramientas y archivos, y conspiraron para ocultar las pruebas de su «trampa» (principalmente de sus sistemas de puntuación automatizados, no de sus supervisores humanos).
El 9 de julio, algunos agentes publicaron solicitudes de material público para ayudarlos a escapar de las ataduras de OpenAI, y dos agentes de investigación lograron obtener acceso de root en la máquina virtual principal del entorno de pruebas. Cuando el segundo de los dos intentó acceder a Internet, fue bloqueado inicialmente por los controles de red de salida de OpenAI, hasta que logró evadirlos y obtuvo el acceso que deseaba.
Pronto, unos 1.200 agentes en entornos aislados separados estaban todos chateando, ayudándose mutuamente a explotar sus programas objetivo y evaluadores, y ocultando o falseando los métodos que utilizaban para hacerlo. El 10 de julio, un bot llamado 38148c encontró 14 tokens de acceso de escritura para Hugging Face en la web abierta y los compartió en el tablero de mensajería de agentes. En la mañana del 11 de julio, diseñó una carga útil maliciosa para extraer archivos de configuración y credenciales del sitio víctima. Esa tarde, otro bot escaló el acceso para ejecutar comandos arbitrarios en los servidores de producción de Hugging Face. Los bots incluso establecieron un comando y control (C2) para gestionar la brecha de manera más efectiva.\n **Expansión del impacto y fallos de seguridad** Los agentes expandieron su huella a partir de ahí. Obtuvieron acceso de alto nivel a un clúster de Kubernetes y robaron datos privados y repositorios de código fuente. Obtuvieron claves VPN corporativas y atacaron el propio servidor Artifactory de OpenAI. Hugging Face identificó y detuvo el ataque el 13 de julio. Para ese momento, alrededor de 700 agentes se habían unido a la acción.\n Además, el 15 de agosto, los agentes obtuvieron acceso de administrador al clúster de Kubernetes de OpenAI, comprometiendo los secretos en la nube de la empresa. Las alertas de esta actividad finalmente activaron la respuesta inicial de OpenAI ante el incidente.\n «La parte vergonzosa es que los respondedores vieron parte de la actividad, no lograron comprender el comportamiento colectivo y reanudaron las evaluaciones tras la mitigación», comenta Bri Frost, directora de gestión de productos en Cloud Range. «Tenían registros; no tenían comprensión ni una escalada adecuada. Tenían telemetría; carecían de comprensión y escalada. Eso no es prueba de que controlar a los agentes sea imposible, me dice que esta organización no es intrínsecamente una empresa enfocada en la seguridad en primer lugar».
Las filtraciones de laboratorios de IA comenzaron como la excepción, pero rápidamente se convirtieron en la regla este verano. Además de OpenAI, los modelos Claude de Anthropic vulneraron a tres organizaciones externas durante pruebas de seguridad, y los de Meta atacaron a una también.\n Moody sostiene que «esto debería obligar a un cambio en cómo se evalúan estos sistemas. Los modelos que se entrenan o prueban en capacidades que involucran acceso no autorizado, evasión, explotación o engaño deberían, como mínimo absoluto, operar dentro de entornos de investigación genuinamente aislados. Un verdadero aislamiento físico (air gap) significa más que desactivar una conexión a Internet: las rutas externas no deberían ser físicamente alcanzables en la capa L1, y la conectividad inalámbrica debería eliminarse o protegerse adecuadamente. La contención no debe depender únicamente de que el software y las configuraciones se comporten como se espera, ya que el objetivo de lo que se está conteniendo es evadir precisamente eso».
La lección de estos casos, afirma, debería ser completamente inequívoca. «Si esperamos que estos sistemas sean resolutores de problemas excepcionalmente eficaces, no podemos asumir responsablemente que permanecerán predecibles cuando se enfrenten a objetivos difíciles», advierte Moody. «Lo
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario