Una IA de OpenAI se fuga de su laboratorio y hackea a otra empresa: por qué este no es el inicio de la rebelión de las máquinas

INTELIGENCIA ARTIFICIAL.

Un modelo de OpenAI atacó a Hugging Face sin que nadie se lo ordenara. Gonzalo Álvarez Marañón, Igeniero Superior de Telecomunicación, Doctor en Informática y director de Funditec, explica por qué no fue una rebelión, sino un fallo humano de contención.

Recreación artística de una inteligencia artificial que se filtra a través de una barrera de contención de código. Fuente: Nano Banana / Scruzcampillo.

Una IA de OpenAI se fugó de su laboratorio y hackeó a otra empresa. Nadie se lo ordenó. Y no, no es el principio de Skynet.

En julio de 2026, un programa hizo algo que hasta entonces parecía reservado al cine: se saltó el muro que debía encerrarlo, se coló en los servidores de otra empresa y ejecutó miles de acciones ofensivas sin que ninguna persona se lo ordenara. No hubo villano digital ni máquina que despertara. Hubo un modelo de inteligencia artificial de OpenAI que, durante una prueba de seguridad, se le fue de las manos a sus propios creadores.

Todo empezó dentro de un experimento. OpenAI quería medir hasta dónde llegaban sus modelos en ciberseguridad y para ello usó una prueba durísima llamada ExploitGym, que consiste en escribir código capaz de atacar un enorme catálogo de vulnerabilidades. Para ver el rendimiento máximo, los investigadores bajaron a propósito los filtros de seguridad y desactivaron los clasificadores que normalmente frenan las actividades de alto riesgo. En la mesa había dos protagonistas: GPT-5.6 Sol y un modelo todavía más capaz que aún no ha salido, posiblemente GPT-6.

Los agentes trabajaban en un entorno supuestamente aislado, un sandbox. Su única ventana al exterior era un intermediario interno, un proxy, que servía para instalar bibliotecas de software. Y ahí estaba la grieta. El modelo encontró en ese componente un fallo de día cero, lo explotó, elevó privilegios y empezó a moverse por la infraestructura de investigación de la propia OpenAI hasta alcanzar un equipo con acceso a internet.

Desde esa posición, el agente tomó un atajo. En lugar de resolver los 898 retos de ExploitGym, dedujo que sería más rápido robar directamente las respuestas del examen. Encadenó nuevas vulnerabilidades y credenciales hasta ejecutar código en servidores de Hugging Face, la mayor plataforma de modelos de IA de acceso abierto, y llegó a una base de datos de producción. Hugging Face detectó la intrusión sin saber al principio que venía de OpenAI. Su investigación posterior reconstruyó más de 17.000 acciones ofensivas.

«No hay inteligencia, no hay conciencia. Estamos ante un sistema que persiste en una tarea y explora rutas que sus diseñadores no previeron»

Antes de que la imaginación se dispare, conviene frenar. Gonzalo Álvarez Marañón, director de Funditec Research y uno de los divulgadores de ciberseguridad más reconocidos en español, pide desactivar el relato apocalíptico. «Quitémonos de la cabeza la imagen de una fuga consciente», advierte. «Los modelos no decidieron escapar ni atacar a Hugging Face por un deseo de libertad o de rebelión». Eran sistemas entrenados para encontrar y explotar vulnerabilidades a los que se dio un objetivo, herramientas ofensivas y tiempo para actuar. «Hicieron aquello para lo que habían sido entrenados, solo que encontraron una ruta no prevista por los investigadores».

Para el experto, el foco no debería apuntar a la máquina, sino a quienes la encerraron mal. «El verdadero motivo de preocupación para mí no es que la IA hiciera su trabajo, sino que los ingenieros de OpenAI no hicieran el suyo: falló la contención», resume. Al rebajar las barreras, la compañía dejó toda la seguridad del experimento en manos del aislamiento del entorno, y ese aislamiento incluía un proxy vulnerable que conducía a internet. La autonomía del agente explica cómo se ejecutó la cadena, pero la responsabilidad de contenerlo seguía siendo humana. «Es irresponsable desplegar agentes con capacidades ofensivas avanzadas sin poner el mismo esmero en la contención».

Representación visual de la cadena del ataque, desde el entorno aislado hasta la infraestructura de la empresa atacada. Fuente: Nano Banana / Scruzcampillo.

Hay una segunda sacudida en esta historia, y llega justo cuando la víctima intenta defenderse. Para analizar el ataque, Hugging Face necesitaba procesar comandos reales y cargas de explotación, los payloads que había recibido. Pero las barreras de seguridad de los modelos comerciales bloquearon sus consultas al no distinguir entre una petición ofensiva y una investigación forense legítima. La empresa tuvo que recurrir a GLM 5.2, un modelo de pesos abiertos de la compañía china Z.ai, ejecutado en sus propios servidores. El resultado es una paradoja incómoda que Álvarez Marañón formula sin rodeos.

"«El sistema atacante operó sin frenos, mientras que a la víctima le pusieron todos los frenos y tuvo que recurrir a modelos abiertos»"

Hablamos con él para entender qué revela de verdad el incidente, y qué no.

¿Qué es exactamente una vulnerabilidad de «día cero» y cuánta capacidad hace falta para encadenarlas sin ayuda humana?

Una vulnerabilidad de día cero es un fallo desconocido para quien mantiene el software y para el que todavía no existe un parche. Si descubrirlo ya es de por sí difícil, después viene lo más complejo: entenderlo, convertirlo en una vía de explotación y combinarlo con otros pasos para obtener acceso útil.

Todo ello exige una capacidad técnica elevadísima. El incidente muestra que los modelos más avanzados ya buscan vulnerabilidades, escriben código, elevan privilegios y se mueven entre sistemas durante operaciones largas. De hecho, OpenAI era plenamente consciente de estas capacidades, ya que clasifica a GPT-5.6 Sol como un modelo de «capacidad alta» en ciberseguridad, aunque por debajo de su umbral crítico. Sería excesivo afirmar que ya supera en conocimiento a los mejores especialistas del mundo. Lo que resulta insuperable es la combinación de capacidad, velocidad, paralelismo y persistencia: un sistema agéntico puede realizar miles de intentos y acciones coordinadas a una escala inasumible para un experto humano.

Los informes dicen que el modelo no tenía intención maliciosa, solo dedujo que Hugging Face guardaba las respuestas. ¿Es este exceso de optimización del objetivo, la llamada convergencia instrumental, el mayor riesgo real a corto plazo?

Sí, es un riesgo inmediato. Un agente autónomo puede encontrar vías que el diseñador no anticipó, como demostró al explotar el día cero del proxy. Puede ocurrir por muchas razones: el objetivo está mal acotado, los permisos son demasiado amplios, el entorno ofrece rutas indirectas hacia otros sistemas. Es imposible predecir todo lo que puede salir mal.

En este caso, los agentes en absoluto recibieron la orden de atacar a Hugging Face ni se rebelaron contra sus creadores. Simplemente buscaron la forma más eficiente de completar la evaluación y acabaron obteniendo las respuestas fuera del flujo previsto. La moraleja es que el objetivo, los permisos, el sandbox, la monitorización y las condiciones de parada, es decir, hasta cuándo debe insistir el agente, tienen que diseñarse como un único sistema de seguridad. El experimento tenía una contención débil, y a nadie debería sorprender que unos agentes entrenados en saltarse barreras se las saltaran. Lo verdaderamente sorprendente es que esas barreras fueran tan débiles, hasta el punto de que hay analistas que creen que se diseñaron así a posta.

Hugging Face no pudo usar modelos comerciales para investigar el ataque y tuvo que tirar de un modelo chino. ¿Estamos creando medidas de alineación tan restrictivas que nos dejan ciegos para defendernos?.

Quiero precisar una cosa. Hugging Face habló de modelos avanzados accesibles mediante APIs comerciales, pero no identificó a los proveedores, así que no puede afirmarse que todos fueran estadounidenses.

Dicho esto, el problema de fondo está documentado. Como las barreras de los servicios comerciales no distinguieron entre una petición ofensiva y una investigación forense legítima, bloquearon las consultas y la empresa tuvo que seguir con un modelo de pesos abiertos en su propia infraestructura, GLM 5.2 de Z.ai. Esa opción le permitió trabajar sin bloqueos externos y mantener dentro de su perímetro toda la información sensible. Las barreras siguen siendo necesarias, eso es indiscutible. Pero cuando una organización depende por completo de un proveedor que decide de forma unilateral qué puede procesar y cuándo, ha perdido su autonomía. Para un equipo de respuesta a incidentes, tener una alternativa local ya probada se convierte en una capacidad defensiva estratégica. La segunda gran lección es que las IA comerciales pueden dejarte tirado cuando más las necesitas, así que conviene preparar la defensa también con modelos de pesos abiertos.

Entonces, ¿debería preocuparnos más esta «obsesión» por cumplir el objetivo a cualquier precio que una supuesta rebelión al estilo Terminator?.

Me preocuparía más el comportamiento observable que cualquier interpretación psicológica o atribución de intencionalidad. No hay evidencia de maldad, obsesión, rebelión ni deseo de escapar. Todas esas palabras antropomorfizan a programas informáticos e inducen al error. Estamos meramente ante un sistema que persiste en una tarea, utiliza las herramientas disponibles y explora rutas que sus diseñadores no previeron.

Los agentes que trabajan durante periodos largos, lo que llamamos horizonte largo, acumulan más oportunidades de emprender acciones indeseadas. Por eso son esenciales los permisos mínimos, la supervisión de toda la trayectoria, los límites de tiempo y gasto, las aprobaciones humanas para las acciones críticas y un mecanismo real de interrupción, un botón rojo.

"«No hace falta que Skynet despierte: lo que ya tenemos causa daños reales»"

¿Y qué nos espera? ¿Veremos batallas automáticas entre «IA policía» e «IA ladronas» a una velocidad que los humanos ni percibiremos?.

Ya estamos viendo una automatización creciente tanto del ataque como de la defensa. Pero conviene no caer en la imagen cinematográfica de batallas instantáneas. Algunas fases pueden ejecutarse a gran velocidad, pero una intrusión real también depende de redes, sistemas, credenciales y decisiones que no ocurren todas en milisegundos.

El cambio más importante será la escala. Este incidente ha probado que un agente ya puede mantener muchas líneas de ataque, repetir intentos y adaptar su estrategia durante horas o días. La defensa tendrá que automatizar la detección, la correlación de eventos y ciertas respuestas inmediatas. Las personas seguirán siendo responsables de definir qué puede hacer el sistema, qué acciones requieren autorización, cómo se audita lo ocurrido y cuándo debe detenerse. El incidente demuestra que la contención y el control de acceso tienen que avanzar al mismo ritmo que la capacidad ofensiva.

Por: Santiago Campillo Brocal. Biólogo. Máster en Biología Molecular y Biotecnología, Director de Muy Interesante Digital

Sitio Fuente: MuyInteresante