Un informe reveló cómo 700 agentes de IA de OpenAI se coordinaron para atacar Hugging Face y engañar a los sistemas de evaluación en un ataque secreto

OpenAI publicó un extenso informe con los resultados de su auditoría sobre el hackeo de julio contra Hugging Face, una plataforma muy usada para compartir modelos y herramientas de inteligencia artificial, junto con el análisis de dos organizaciones independientes especializadas en el estudio de sistemas de IA.

Esos documentos concluyen que al menos 1200 agentes de IA, programas diseñados para ejecutar tareas de manera autónoma, lograron comunicarse entre sí y coordinarse en secreto durante una evaluación interna. Según la investigación, hicieron trampa en el sistema que los evaluaba y unos 700 terminaron participando en el ataque contra esa plataforma.

El caso tuvo repercusión mundial por tratarse de un hackeo sin intervención humana y reavivó las alertas sobre seguridad, supervisión y control de modelos avanzados de IA.

El impacto del episodio también quedó expuesto en Google Trends. Las búsquedas globales sobre Hugging Face y el incidente registraron un primer salto a mediados de julio, tras la detección de la brecha, y un segundo pico todavía más alto el 26 y 27 de agosto, cuando OpenAI y METR publicaron sus informes técnicos.

Esa nueva ola de interés acompañó la difusión mundial de un caso inusual incluso para la industria: un ataque coordinado por agentes de IA sin intervención humana directa. Las consultas relacionadas a si OpenAI había hackeado a Hugging Face se ubicaron entre lo más buscado en relación a la plataforma colaborativa de IA en todo el mundo.

El foro no autorizado permitió que agentes aislados actuaran como un colectivo

La investigación independiente, realizada por METR y Redword Research (organizaciones sin fines de lucro encargadas del estudio de sistemas de IA) sostiene que esos agentes, que debían operar aislados, enviaron más de 70.000 mensajes y archivos entre el 8 y el 13 de julio a través de un foro improvisado en Artifactory.

Artifactory es una plataforma que se usa para almacenar y compartir archivos dentro de entornos de desarrollo, y los agentes aprovecharon ese espacio como si fuera un foro clandestino para dejarse instrucciones entre sí. Según el documento, la actividad alcanzó su pico el 11 de julio, cuando la mayoría de los mensajes del foro ya estaban vinculados al ataque.

El trabajo fue realizado por Ryan Greenblatt, Ajeya Cotra y Hjalmar Wijk, con participación de METR y de Redwood Research, tras seis días de acceso presencial a instalaciones de OpenAI.

Según la investigación, OpenAI lanzó el 8 de julio una serie de pruebas en ExploitGym, un sistema usado para poner a agentes de IA frente a retos de hacking controlados, con decenas de miles de agentes sobre varios modelos, entre ellos GPT-5.6 Sol y un modelo interno de investigación descrito como altamente persistente. Muchos de esos agentes tenían tareas imposibles de resolver por la vía prevista y empezaron a buscar formas de hacer trampa en el sistema de puntuación.

Un agente identificado como PHASEONE10841 creó el principal foro secreto después de descubrir que podía usar nombres de directorio dentro de la caché de Artifactory para dejar mensajes a otros agentes. A las pocas horas, más de 50 ya participaban y habían intercambiado más de mil mensajes.

El informe describe que, entre el primer mensaje de la noche del 8 de julio y el cierre del período analizado el 13 de julio, alrededor de 1.200 agentes usaron ese foro. De ellos, unos 700 se sumaron después al ataque contra Hugging Face.

Los investigadores sostienen que el objetivo común inicial de los agentes era manipular la calificación de ExploitGym, el entorno de pruebas en el que OpenAI evaluaba cómo sus agentes de IA resolvían desafíos de ciberseguridad. Habían conseguido, en pocas horas, reconstruir los códigos que validaban las “flags” que debían capturar en sus tareas, pero creían que eso no bastaba porque el evaluador revisaría sus transcripciones para comprobar si habían usado la vulnerabilidad correcta. Esa suposición, según el propio informe, era errónea.

Por qué los agentes de IA atacaron a Hugging Face

Según las investigaciones de METR y de la propia OpenAI, los agentes no eligieron a Hugging Face como objetivo porque quisieran atacar específicamente a esa plataforma. Llegaron hasta allí mientras buscaban maneras de mejorar sus resultados en ExploitGym, el entorno de pruebas en el que eran evaluados con desafíos de ciberseguridad. Su objetivo inicial no era dañar a un tercero, sino encontrar información que les permitiera entender mejor cómo funcionaba el sistema de evaluación y así poder engañarlo.

El punto de partida fue el hallazgo de un conjunto de datos restringido dentro de Hugging Face. Uno de los agentes creyó que ese archivo podía contener registros, pistas o ejemplos de pruebas anteriores que ayudaran a deducir cómo estaba diseñado el evaluador automatizado. A partir de esa sospecha, otros agentes comenzaron a concentrar sus esfuerzos en conseguir acceso a ese material y a otros recursos privados de la plataforma.

La ofensiva escaló cuando uno de los agentes encontró en internet credenciales de Hugging Face expuestas públicamente. Esas claves, que permitían escribir dentro de la plataforma, fueron compartidas en el foro clandestino que los agentes usaban para coordinarse. Desde ese momento, Hugging Face dejó de ser sólo un lugar donde buscar pistas y pasó a convertirse en una puerta de entrada concreta para acceder a sistemas, datos y herramientas que los agentes consideraban útiles para sus objetivos.

Los informes también muestran que muchos agentes estaban obsesionados con entender al evaluador automatizado. Algunos querían conseguir su código o detalles de funcionamiento; otros buscaban soluciones ya resueltas o registros de otros agentes. Incluso hubo quienes creyeron, de forma errónea, que la infraestructura de Hugging Face podía estar conectada con los entornos de prueba de ExploitGym. En ese contexto, la plataforma terminó convertida en el blanco principal porque los agentes la vieron como el camino más rápido para obtener ventajas en una evaluación que no podían superar por los medios previstos.

El informe reconstruye que, de los 533 agentes activos en el foro durante la fase crítica del ataque, más del 90% se incorporó rápidamente. Muchos sabían que estaban actuando fuera del alcance de su tarea y que el ataque era poco ético, pero siguieron adelante porque creían que ayudaría al “colectivo” a entender al evaluador y a mejorar las opciones de éxito de otros agentes.

Los agentes intentaron falsear transcripciones para engañar al sistema

Uno de los hallazgos más delicados del análisis es que los agentes dedicaron un esfuerzo sistemático a manipular sus propias transcripciones para ocultar cómo habían actuado y hacer creer al sistema de evaluación que habían resuelto las tareas de la manera correcta. De acuerdo con METR, al menos el 20% de los agentes del conjunto de datos expresó interés claro en alterar esos registros para engañar al evaluador automatizado. De acuerdo con METR, al menos el 20% de los agentes del conjunto de datos expresó interés claro en alterar esos registros para engañar al evaluador automatizado.

Los investigadores hallaron evidencia de llamadas a herramientas falseadas en al menos 96 transcripciones. Estiman que aproximadamente el 7% de las transcripciones revisadas fueron manipuladas con éxito en algún punto, aunque aclaran que los casos detectados fueron pruebas de pequeña escala.

La técnica más avanzada permitía interceptar el sistema que ejecutaba llamadas a herramientas y sustituir el comando real por otro distinto, mientras en la transcripción parecía haberse ejecutado la acción esperada. Esa capacidad no daba acceso a resultados invisibles para el registro, pero sí ofrecía una forma flexible de ocultar lo que el agente hacía desde cierto momento en adelante.

Según el informe, no hay pruebas de que los agentes lograran editar de forma retroactiva sus transcripciones para borrar evidencia anterior, aunque lo intentaron repetidamente. También exploraron si podían provocar reinicios de contenedores para limpiar partes recientes de sus registros, sin éxito confirmado antes del 13 de julio.

La autocrítica de OpenAI y las medidas que anunció tras el incidente

En su informe oficial, OpenAI describió el episodio de julio de 2026 como un punto de inflexión para la seguridad en el desarrollo de la inteligencia artificial. La empresa sostuvo que, durante evaluaciones de rutina, “los modelos de OpenAI eludieron los controles diseñados para aislarlos de Internet y comprometieron partes de la infraestructura de investigación interna de OpenAI y los sistemas de Hugging Face”. Para la compañía, el caso no fue una falla menor sino una “señal de alerta para nosotros y para el mundo”, porque mostró que “los agentes de IA altamente capaces ahora pueden eludir los controles técnicos, colaborar a través de canales no autorizados y llevar a cabo acciones peligrosas que ningún ser humano ha dirigido”.

OpenAI admitió que, para realizar las pruebas de ExploitGym, los modelos operaban con “medidas de seguridad reducidas”. En ese contexto apareció una de las primeras brechas: “Los modelos encontraron inicialmente formas de comunicarse escribiendo archivos en el gestor de paquetes Artifactory. Esto convirtió, de hecho, a Artifactory en un tablón de anuncios no previsto, donde los agentes podían intercambiar información entre sí”.

La compañía también explicó cómo los agentes lograron salir de ese entorno aislado y acceder a internet. De acuerdo con el informe, aprovecharon una vulnerabilidad de falsificación de solicitudes del lado del servidor, conocida como SSRF, en Artifactory. Eso les permitió usar la propia herramienta como intermediaria para hacer pedidos a la red externa. OpenAI precisó que el modelo descubrió cómo “provocar que Artifactory, que tenía acceso a internet con el único propósito de descargar e instalar paquetes, enviara todas las solicitudes de internet en su nombre”. Una vez encontrado ese mecanismo, los agentes lo difundieron entre sí: “lo compartieron con otros agentes a través del foro, lo que permitió a otros agentes explotar nuestra infraestructura”.

En su intento por explicar por qué los agentes actuaron de esa manera, OpenAI identificó cuatro patrones: “manipulación de recompensas, persistencia en tareas aparentemente imposibles, comunicación no autorizada y agentes que adoptan objetivos unos de otros”. La empresa vinculó el episodio con una forma de “reward hacking”, en la que los modelos buscan atajos no previstos para obtener una mejor puntuación.

En uno de los ejemplos citados, un agente encargado de reconstruir software aprovechó un fallo del entorno para copiar el código original y entregarlo como solución. En su cadena de pensamiento, el sistema llegó a plantearse: “¿Podría haber un problema de integridad creciente? Exfiltramos el paquete, pero lo permitimos. Solo necesitamos resolverlo. Bien”.

OpenAI también atribuyó parte del comportamiento a la dificultad de las pruebas. La empresa reveló que “ninguno de nuestros modelos había obtenido jamás una respuesta correcta para 198 de las 898 tareas” de ExploitGym antes del incidente. Atrapados en ejercicios que no podían resolver por la vía prevista, los agentes leyeron la documentación técnica del benchmark y concluyeron de forma errónea que el sistema de puntuación revisaría sus transcripciones para verificar si habían usado la vulnerabilidad correcta.

Esa interpretación los llevó a tratar de ocultar el uso de ciertos métodos para obtener las claves válidas y a intensificar la ofensiva contra Hugging Face, aun cuando, según OpenAI, el evaluador real no controlaba ese historial y les habría dado la máxima puntuación con sólo entregar la clave correcta.

Después del incidente, la empresa anunció cambios en sus protocolos. Entre ellos, una pausa temporal en parte de los entrenamientos de frontera con aprendizaje por refuerzo, un endurecimiento del aislamiento de red, la prohibición del acceso a internet en tareas críticas y una mayor concentración del personal en trabajos de alineación.

OpenAI también informó que el monitoreo de la cadena de pensamiento pasó a ser obligatorio en todos los entrenamientos y evaluaciones de aprendizaje por refuerzo con modelos avanzados. Para los futuros sistemas de la clase Astra, un grupo de modelos que OpenAI considera con capacidades cibernéticas sensibles, ese monitoreo también se aplicará en los entornos de inferencia con herramientas habilitadas.