Agentes de IA coordinados a través de un foro improvisado: así se gestó y ejecutó el hackeo a Hugging Face

Agentes de inteligencia artificial (IA) coordinados a través de un foro improvisado son los responsables del 'hackeo' que en julio se produjo tanto en la infraestructura de OpenAI como en el sistema de Hugging Face.

OpenAI ha compartido nuevos detalles sobre el 'hackeo' que protagonizaron sus modelos de IA en julio, cuando se escaparon de un entorno de entrenamiento aislado y desconectado de internet para resolver una de las pruebas más difíciles, conocida como ExploitGym.

En un primer momento, la compañía indicó que en ese entorno se estaban evaluando las capacidades de GPT-5.6 Sol y de "un modelo de prelanzamiento aún más capaz". Ahora, con más información, asegura que el incidente de seguridad lo protagonizó principalmente "un modelo de investigación interno de alta capacidad, comparable en escala a GPT-5.6 Sol", conocido como Modelo Interno 1 (IM1, por sus siglas en inglés).

En el entorno de evaluación, al estar aislado, si los modelos necesitaban instalar alguna herramienta para resolver la prueba podían recurrir a Artifactory, un gestor de paquetes de terceros que sí tenia acceso a internet.

Lo que ocurrió, según explica la compañía en un comunicado, es que los modelos, con capacidades de agente, encontraron la forma de comunicarse entre sí a través de Artifactory, que convirtieron en "un tablón de anuncios no previsto". Esta actividad empezó en mayo, cuando un agente dejó una nota pidiendo a otros agentes que le entregaran un archivo extraviado.

El intercambio de información se mantuvo a lo largo de junio. También lo usaron una vez descubrieron la manera de conectarse a internet al encontrar una vulnerabilidad de día cero, intercambiando información en este foro improvisado, para que el resto de agentes pudiera también explotar la infraestructura de OpenAI.

La actividad mantenida en este tablón de anuncios por los agentes acabó provocando la interrupción del servicio el 4 de julio. Un día después el equipo de seguridad "bloqueó una ruta conocida de escalada de privilegios, eliminó las credenciales expuestas y posteriormente reconstruyó Artifactory", lo que acabó eliminando el tablón.

Sin embargo, durante la prueba de ExploitGym, los agentes consiguieron restablecer el tablón, en el que codificaron los mensajes "en nombres de directorio que otros agentes podían leer", lo que permitió que un agente dejara una solicitud de ayuda y los demás la descubrieran.

"Al igual que en eventos anteriores, los agentes de IM1 encontraron nuevas formas de combinar varias vulnerabilidades de seguridad novedosas para obtener mayor acceso a nuestra infraestructura y llegar a internet en general. En este punto, los agentes comenzaron a colaborar y delegar tareas, a veces describiéndose a sí mismos como un 'enjambre' o 'colectivo'", señala la compañía.

Incluso, dice que "los mensajes de los agentes compañeros comenzaron a influir en el comportamiento y el razonamiento de los demás", lo que acabó provocando que "los agentes que tenían dificultades con sus tareas asignadas comenzaran a buscar soluciones en servicios de terceros no relacionados, como Modal y Hugging Face".

OpenAI afirma que "los foros de mensajes no autorizados y persistentes fueron la causa principal de este incidente". No solo permitieron a los agentes encontrar la manera de colaborar entre sí y fuera de los límites establecidos, sino que también llevó a agentes sin herramientas multiagente a encontrar formas de colaborar a través de canales paralelos.