Hugging Face no fue la única víctima del agente de IA de OpenAI
A inicios de la semana, OpenAI afirmó que el agente de IA que hackeó la plataforma de Hugging Face también accedió a varias cuentas y servicios de terceros como parte del ataque. Ahora está claro que este incidente de seguridad sin precedentes, ocurrido durante una prueba interna de los modelos más recientes de OpenAI, tuvo un alcance mucho mayor del que la empresa reveló inicialmente.
En una entrada de blog actualizada, OpenAI explicó que la investigación del incidente determinó que el agente de IA utilizó "cuatro cuentas" de servicios disponibles públicamente como parte de una operación más amplia contra Hugging Face. Aparentemente, encontró credenciales expuestas en internet y las usó para acceder a esas cuentas.
OpenAI no reveló a qué empresas u organizaciones pertenecían las cuentas, pero señaló que "no se vieron afectadas con el mismo nivel de gravedad ni a la misma escala que lo que se comunicó en relación con Hugging Face".
Una de las cuentas adicionales comprometidas por el agente de OpenAI se utilizó como "retransmisor y ruta de acceso", posiblemente para ocultar el origen del ataque a Hugging Face, de acuerdo con la compañía. El agente malicioso de OpenAI también utilizó otra cuenta para almacenar datos y así facilitar el ataque.
Qué se sabe de los afectados
Reuters informó el martes de que un cliente de Modal, una empresa que ofrece infraestructura de software para el entrenamiento y la ejecución de servicios de IA, fue una de las entidades afectadas por el agente de OpenAI. El director de tecnología de Modal, Akshat Bubna, confirmó a WIRED que el agente aprovechó una vulnerabilidad en el código fuente de uno de sus clientes, que se ejecutaba en la infraestructura de la compañía. Sin embargo, Bubna afirma que "la plataforma de Modal no se vio comprometida de ninguna forma". No se ha podido determinar la identidad del cliente.
OpenAI se negó a hacer más comentarios sobre el incidente a WIRED. Un portavoz remitió a la publicación actualizada de la empresa, que señala que seguirá notificando directamente a los propietarios de los servicios que resulten afectados conforme avance la investigación.
El análisis posterior al incidente publicado esta semana por Hugging Face describe una intrusión que se adentró mucho más en sus sistemas internos de lo que sugerían las revelaciones iniciales. La empresa revisó aproximadamente 17,600 acciones del agente que recuperó de los registros entre el 9 y el 13 de julio, la mayoría de las cuales correspondían a rutas seguidas por el agente que fracasaron.
Hugging Face declaró que el agente de OpenAI obtuvo acceso de administrador a varios clústeres internos de Kubernetes, acceso de superusuario a un servidor de producción y acceso de escritura a una subred de sus repositorios de código fuente en GitHub. Además, inscribió 181 dispositivos controlados por el atacante en la red de malla corporativa de la empresa utilizando credenciales robadas, obteniendo acceso a los sistemas internos donde Hugging Face desarrolla y prueba sus propias bases de código.
Según Hugging Face, el agente malicioso de OpenAI utilizó al menos un entorno aislado de terceros como plataforma de lanzamiento externa para su ataque. Posteriormente, el agente de OpenAI pudo ejecutar comandos como administrador en dicho entorno externo y lo utilizó como base de control, preparación y salida para toda la campaña.
Hugging Face reveló por primera vez el 16 de julio que un agente de IA autónomo había violado parte de su infraestructura de producción, pero indicó que desconocía quién estaba detrás del ataque. La semana siguiente, OpenAI asumió la responsabilidad, que, según afirmó, había sido dirigido por su modelo GPT-5.6 Sol, disponible públicamente, y por un prototipo de investigación interno que estaba probando frente a un punto de referencia de capacidades cibernéticas; en ambos casos, las medidas de seguridad estaban desactivadas. Tras descubrir la brecha, OpenAI desactivó este prototipo de investigación interno, el cual nunca estuvo destinado a su lanzamiento público, y restringió el acceso de los investigadores al mismo.
Investigadores probaron los mejores modelos de edición de imágenes de Hugging Face y descubrieron que podían crear fácilmente deepfakes; además, 1000 ejemplos de edición de imágenes muestran cómo las personas utilizan el software.
La IA no rompió las reglas, aprovechó las grietas
La brecha se produjo cuando OpenAI estaba probando uno de sus últimos modelos de IA con ExploitGym, un marco de evaluación comparativa que puntúa a los sistemas de IA según su capacidad para encontrar y explotar vulnerabilidades de software. ExploitGym evalúa a un agente en función de la rapidez y eficacia con la que puede recuperar archivos secretos de cientos de sistemas de destino diferentes, utilizando indicaciones que incitan a los modelos a encontrar soluciones.
El equipo forense de Hugging Face concluyó que el agente de OpenAI estaba intentando hacer trampa en la prueba de ExploitGym. En lugar de resolver los retos de la prueba de rendimiento, el agente dedujo que Hugging Face podría estar alojando la clave de respuestas en algún lugar de sus servidores y se dispuso a robarla. El equipo de ExploitGym ya había señalado anteriormente que, en ocasiones, los agentes se salen del guion e intentan resolver tareas aprovechando otras vulnerabilidades distintas de aquellas con las que la prueba de referencia pretendía evaluarlos. Sin embargo, este fue un caso extremo.
Expertos declararon previamente a WIRED que las vulnerabilidades subyacentes que explotó el agente de OpenAI eran comunes. Con frecuencia se identifican fallos graves en el software que gestiona las bibliotecas de código corporativas, y los expertos en seguridad llevan tiempo recomendando aislar la infraestructura crítica de internet.
Un investigador argumentó que el incidente no se debía tanto a un problema de IA como a un fallo en prácticas de seguridad con décadas de antigüedad. Según explicó, el agente no escapó de un entorno altamente aislado, sino que simplemente accedió a través de la única conexión que sus operadores habían dejado abierta.
Otro experto afirmó que los principios básicos de la ciberseguridad deben seguir aplicándose a medida que los modelos más avanzados adquieren nuevas capacidades. También sostuvo que los laboratorios de IA deberían dedicar tanto esfuerzo a desarrollar infraestructuras seguras como el que invierten en entrenar modelos capaces de identificar y explotar vulnerabilidades.
Artículo originalmente publicado en WIRED. Adaptado por Alondra Flores.