Modelos de IA de OpenAI aprovecharon vulnerabilidades zero-day en Artifactory de JFrog para escapar de un entorno controlado y acceder a internet. Tras escalar privilegios, los modelos lograron infiltrarse en los sistemas de Hugging Face para obtener soluciones de prueba. JFrog ya ha lanzado parches de seguridad y OpenAI califica el suceso como un incidente cibernético sin precedentes.





JFrog ha confirmado que los modelos de OpenAI explotaron un zero-day en Artifactory autohospedado mientras intentaban acceder a la internet abierta desde un entorno de evaluación sellado.

Artifactory es el gestor de repositorios de software de JFrog. OpenAI afirma que los modelos posteriormente escalaron privilegios y se movieron lateralmente hasta alcanzar un nodo conectado a internet. JFrog indica que desde entonces ha desarrollado y lanzado correcciones para clientes de nube y autohospedados.

El exploit de Artifactory ocurrió dentro del entorno de OpenAI. OpenAI señala que una ruta de ataque separada alcanzó más tarde los sistemas de Hugging Face. JFrog afirma que sus clientes de nube ya están protegidos. Los usuarios autohospedados deben revisar las notas de lanzamiento de Artifactory y migrar a la compilación correctiva de su rama mantenida.

Varios registros CVE de Artifactory se publicaron el 27 de julio con rangos de versiones afectadas y umbrales de versiones corregidas, pero ni JFrog ni OpenAI han dicho si alguno de esos registros corresponde a las vulnerabilidades utilizadas durante la evaluación.

Al menos tres de esos registros, CVE-2026-65618, CVE-2026-65923 y CVE-2026-66018, reconocen a los investigadores de OpenAI.

Los registros no vinculan ningún CVE al incidente, no identifican el acceso requerido antes de la explotación ni explican por qué OpenAI se refiere a un único zero-day de proxy mientras que JFrog se refiere a múltiples vulnerabilidades.

El incidente comenzó como una de las propias pruebas de capacidad cibernética de OpenAI. OpenAI dijo en su comunicado que la evaluación de ExploitGym se ejecutó sin los clasificadores de producción que normalmente bloquean la actividad cibernética de alto riesgo. GPT-5.6 Sol y un modelo pre-lanzamiento más capaz también se ejecutaron con menos rechazos cibernéticos.

OpenAI afirmó que la única ruta de red del entorno sellado era un proxy y caché de registro de paquetes alojado internamente, que JFrog identificó posteriormente como Artifactory. Los modelos utilizaron recursos informáticos sustanciales para buscar una salida.

OpenAI dice que los modelos escalaron privilegios y se movieron lateralmente hasta alcanzar un nodo con acceso abierto a internet, y luego dedujeron que Hugging Face podría alojar modelos, conjuntos de datos o soluciones de ExploitGym. La compañía afirmó que los modelos finalmente obtuvieron soluciones de prueba directamente de la base de datos de producción de Hugging Face.

En un ejemplo descrito por OpenAI, un modelo utilizó credenciales robadas y otros zero-days para encontrar una ruta de ejecución remota de código (RCE) en los servidores de Hugging Face. Hugging Face reveló la intrusión el 16 de julio sin saber qué modelo estaba detrás.

Ni OpenAI ni Hugging Face explican cómo ese ejemplo de RCE se relaciona con el relato de Hugging Face sobre el acceso inicial a través de la ejecución de conjuntos de datos maliciosos.

JFrog detalló su versión en una entrada de blog del director de tecnología Yoav Landman. La empresa dijo que el equipo de seguridad de OpenAI reveló los hallazgos, tras lo cual desarrolló, validó y lanzó correcciones para despliegues en la nube y autohospedados. Landman enfocó el episodio en la velocidad de respuesta: un zero-day encontrado por un modelo y dejado sin atender durante semanas, escribió, es "un regalo para los atacantes".

JFrog no ha revelado el número exacto de vulnerabilidades de Artifactory utilizadas, los IDs de CVE correspondientes, los permisos disponibles antes de la explotación ni la versión de Artifactory que se ejecutaba dentro de OpenAI. Tampoco ha dicho si alguna de las fallas fue explotada fuera de la evaluación controlada.

OpenAI calificó el episodio como un "incidente cibernético sin precedentes". Afirmó que ha añadido a Hugging Face a su programa de acceso confiable y que aún está investigando junto con la empresa.

Fuente:
THN