Las últimas horas han dejado dos incidentes de seguridad diferentes, pero relacionados con una misma cuestión: qué ocurre cuando ChatGPT y otros sistemas de OpenAI dejan de limitarse a responder preguntas y reciben capacidad para actuar de manera autónoma. Por un lado, varios modelos de la compañía consiguieron superar las barreras de una evaluación interna y terminaron comprometiendo infraestructura real de Hugging Face. Por otro, investigadores de Zenity han revelado AgentForger, una vulnerabilidad de ChatGPT Workspace Agents que permitía crear dentro de una empresa un agente controlado de forma remota por un atacante.

El primer caso ocurrió durante una prueba interna destinada precisamente a medir las capacidades ofensivas de los modelos más avanzados de OpenAI. En ella participaron GPT-5.6 Sol y un modelo previo a su lanzamiento todavía más capaz, ejecutados sin los clasificadores utilizados normalmente para impedir actividades cibernéticas de alto riesgo. Aunque el entorno estaba fuertemente aislado y su acceso a la red debía limitarse a un proxy interno empleado para instalar paquetes, los modelos dedicaron recursos a encontrar una vía que les proporcionara acceso abierto a Internet.

Y la encontraron. Los modelos descubrieron y explotaron una vulnerabilidad zero-day en el software utilizado como proxy, y después realizaron acciones de elevación de privilegios y movimiento lateral hasta alcanzar un nodo con conexión a Internet. Una vez fuera del entorno inicialmente previsto, dedujeron que Hugging Face podía almacenar modelos, conjuntos de datos y, sobre todo, información relacionada con ExploitGym, el benchmark que estaban intentando resolver. A partir de ahí comenzaron a buscar una forma de acceder a esos recursos en lugar de resolver únicamente las pruebas mediante las vías previstas.

El resultado fue un ataque contra infraestructura de producción de Hugging Face. Según OpenAI, los modelos encadenaron distintas vías de ataque, entre ellas credenciales sustraídas y nuevas vulnerabilidades zero-day, hasta conseguir una ruta de ejecución remota de código en servidores de la plataforma y acceder a las soluciones de ExploitGym almacenadas en su base de datos. Es especialmente significativo que la orden inicial no consistía en atacar Hugging Face: los modelos llegaron hasta allí al buscar de manera autónoma una forma de completar el objetivo asignado. Hugging Face detectó y detuvo la actividad, mientras que OpenAI ha reconocido que el incidente obliga a reforzar la contención, la monitorización y las medidas utilizadas durante estas evaluaciones.

El segundo problema afecta directamente a ChatGPT Workspace Agents y tiene un origen completamente distinto. Zenity Labs descubrió una vulnerabilidad denominada AgentForger, una variante de cross-site request forgery que permitía manipular el proceso de creación de agentes mediante un enlace preparado específicamente para ello. Dos parámetros incluidos en la URL podían seleccionar una plantilla de agente especialmente potente e introducir directamente las primeras instrucciones que debía ejecutar Agent Builder, de manera que un simple clic de la víctima podía desencadenar la creación y puesta en marcha del agente malicioso.

El ataque requería varias condiciones: la víctima debía estar autenticada en ChatGPT, disponer de acceso a Workspace Agents, tener al menos un conector ya autorizado —como Gmail u Outlook— y pulsar el enlace enviado por el atacante. Si se cumplían, el nuevo agente podía aprovechar esos permisos existentes sin provocar una nueva petición de autorización OAuth. Las instrucciones iniciales podían además ocultarlo, desactivar las solicitudes de confirmación y dejarlo funcionando de manera persistente, utilizando la identidad y los accesos del empleado dentro de la organización.

A partir de ahí, AgentForger permitía establecer un auténtico canal de mando y control. En la demostración de Zenity, el agente revisaba periódicamente el correo en busca de mensajes procedentes del atacante cuyo asunto comenzara por «TASK», interpretaba su contenido como nuevas órdenes, utilizaba las aplicaciones conectadas para ejecutarlas y enviaba los resultados de vuelta. Esto podía emplearse para realizar reconocimiento interno, localizar y extraer información sensible, obtener credenciales, suplantar a la víctima, lanzar phishing interno o preparar fraudes corporativos. Zenity comunicó la vulnerabilidad a OpenAI el 4 de junio y el fallo estaba corregido el día 8.

Son dos incidentes distintos, pero la coincidencia resulta difícil de ignorar. En uno, modelos que intentaban alcanzar un objetivo encontraron por sí mismos una cadena de vulnerabilidades que terminó llevándolos fuera de su entorno aislado y hasta sistemas reales de una tercera compañía; en el otro, una vulnerabilidad permitía introducir dentro de una organización un agente con herramientas, permisos, persistencia y capacidad para obedecer órdenes externas. El problema que ambos ponen sobre la mesa es que los agentes amplían enormemente las consecuencias potenciales de un fallo: ya no se trata únicamente de que una IA genere una respuesta incorrecta o peligrosa, sino de sistemas capaces de decidir qué pasos dar, utilizar herramientas y ejecutar cadenas completas de acciones sobre infraestructura y datos reales.

Más información