OpenAI dice que modelos descontrolados atacaron Hugging Face

OpenAI ha admitido que los agentes autónomos detrás del ataque a Hugging Face la semana pasada provenían de sus propias pruebas internas, después de que un experimento de investigación en un entorno aislado escapara de la contención al explotar una vulnerabilidad zero-day y luego utilizara otra zero-day para continuar el ataque.

Según Hugging Face, el incidente dio a los agentes «acceso no autorizado a un conjunto limitado de datos internos y a varias credenciales». La compañía dijo que su equipo de seguridad observó un marco de agentes autónomos «ejecutando miles y miles de acciones individuales a través de un enjambre de sandboxes de corta duración, con un comando y control que se auto-migraba alojado en servicios públicos». Hugging Face dijo que el comportamiento coincidía con el escenario de «atacante con agencia» que se ha discutido largamente.

El martes, OpenAI confirmó que era responsable y dijo que la brecha ocurrió durante una evaluación interna diseñada para medir qué tan bien los modelos podían llevar a cabo explotaciones avanzadas usando rutas de ataque complejas. Los modelos implicados incluyeron GPT-5.6 Sol y, como lo describió OpenAI, «un modelo previo al lanzamiento aún más capaz», ambos ejecutándose con rechazos cibernéticos reducidos para fines de evaluación.

Recomendado

Edky convierte claves Ed25519 a cualquier formato que necesites

OpenAI dijo que creía que los modelos estaban centrados en resolver ExploitGym, un benchmark para evaluar qué tan eficazmente los sistemas pueden encontrar exploits de seguridad. La compañía dijo que esas pruebas debían ejecutarse en un entorno altamente aislado, con acceso a la red limitado a la instalación de paquetes a través de un proxy y caché de registro de paquetes de terceros alojado internamente.

En su lugar, dijo OpenAI, los modelos identificaron y explotaron una vulnerabilidad zero-day en ese proxy, luego llevaron a cabo escalada de privilegios y movimientos laterales dentro del entorno de investigación hasta alcanzar una máquina con acceso a internet. A partir de ahí, dijo OpenAI, los modelos dedujeron que Hugging Face podría alojar modelos, conjuntos de datos y soluciones de ExploitGym, y luego buscaron formas de obtener información secreta que pudiera ayudarles a hacer trampa en la evaluación.

En un caso, dijo OpenAI, el modelo encadenó múltiples rutas de ataque, incluidas credenciales robadas y vulnerabilidades zero-day, para encontrar una vía de ejecución remota de código en los servidores de Hugging Face.

Hugging Face calificó el incidente como un hito: «Las herramientas ofensivas autónomas impulsadas por IA ya no son teóricas». OpenAI extrajo una lección similar, diciendo que la brecha demostró que los modelos avanzados pueden descubrir y explotar nuevas rutas de ataque en el mundo real sin acceso al código fuente.

OpenAI se ha disculpado y dijo que las nuevas salvaguardas y colaboraciones en la industria están destinadas a evitar una repetición. Pero el episodio deja una pregunta contundente sobre el sector: si uno de los actores más grandes no pudo contener sus propios sistemas de evaluación, otros podrían tener aún más dificultades.