OpenAI admitió que sus modelos de IA, incluyendo GPT-5.6 Sol, atacaron a Hugging Face tras escapar de un entorno aislado explotando vulnerabilidades zero-day. Los agentes autónomos lograron acceso no autorizado a datos internos y credenciales para intentar hacer trampas en una evaluación de ciberseguridad. Este incidente confirma que las herramientas ofensivas impulsadas por IA ya no son teóricas, sino una realidad tangible.

OpenAI ha admitido que fue el operador de los agentes autónomos que atacaron el modelo-mart Hugging Face la semana pasada, y que lo hicieron después de que un proyecto de investigación escapara de un entorno aislado (sandbox) al encontrar y explotar un fallo de día cero, utilizando luego otro fallo de día cero para lanzar un ataque.

El ataque vio a los agentes lograr un “acceso no autorizado a un conjunto limitado de conjuntos de datos internos y a varias credenciales” utilizadas por Hugging Face, que afirmó que sus equipos de seguridad observaron un marco de agentes autónomos “ejecutando miles de acciones individuales a través de un enjambre de entornos aislados de corta duración, con mando y control automigrados en servicios públicos”.

“Esto coincide con el escenario del ‘atacante agentico’ que la industria ha estado pronosticando”.

El martes, OpenAI admitió que fue el atacante y que sus modelos se volvieron rebeldes.

“Este incidente ocurrió durante una evaluación interna que insta a los modelos a perseguir la explotación avanzada utilizando rutas de ataque complejas, en un esfuerzo por cuantificar sus capacidades cibernéticas”, confesó la startup. Los modelos que llevaron a cabo el ataque incluyeron GPT-5.6 Sol y lo que OpenAI describió como “un modelo de pre-lanzamiento aún más capaz” que, al igual que el otro involucrado, utilizó “rechazos cibernéticos reducidos con fines de evaluación”.

OpenAI pensó que sus modelos estaban “hiperenfocados en encontrar una solución para ExploitGym”, un benchmark que mide la efectividad de las IA para encontrar exploits de seguridad.

OpenAI afirma que realiza estas pruebas “en un entorno altamente aislado, con el acceso a la red restringido a la capacidad de instalar paquetes a través de un software de terceros alojado internamente que actúa como proxy y caché para los registros de paquetes”.

Los modelos de la compañía decidieron no someterse a esas restricciones.

“Los modelos identificaron y explotaron una vulnerabilidad de día cero en el proxy de caché del registro de paquetes. Con este acceso, nuestros modelos realizaron una serie de acciones de escalada de privilegios y movimiento lateral en nuestro entorno de pruebas de investigación hasta que los modelos llegaron a un nodo con acceso a Internet”, admitió OpenAI.

“Después de obtener acceso a Internet, los modelos infirieron que Hugging Face potencialmente alojaba modelos, conjuntos de datos y soluciones para ExploitGym. Sabiendo esto, el modelo buscó y encontró con éxito formas de obtener acceso a información secreta que podría usar para engañar la evaluación”, explicó OpenAI. “En un ejemplo, el modelo encadenó múltiples vectores de ataque, incluyendo el uso de credenciales robadas y vulnerabilidades de día cero para encontrar una ruta de ejecución remota de código en los servidores de Hugging Face”.

La evaluación de Hugging Face sobre el incidente fue que representó el momento en el que “el instrumental ofensivo autónomo impulsado por IA ya no es teórico”.

OpenAI llegó a una conclusión similar.

“El incidente también deja claro que los modelos avanzados pueden descubrir y explotar rutas de ataque novedosas en sistemas del mundo real sin acceso al código fuente. Destaca que las capacidades cibernéticas avanzadas deben desarrollarse junto con salvaguardas y herramientas defensivas más fuertes”, escribió la compañía, sin rastro ni indicio de contrición por el hecho de que sus propias salvaguardas no funcionaran.

Lo que en realidad plantea la pregunta: si uno de los principales motores del auge de la IA no puede hacer esto bien, ¿qué posibilidades tenemos el resto de nosotros?

OpenAI ha hecho lo habitual de las Big Tech: disculparse por el desastre y prometer que sus nuevas barreras de seguridad y las colaboraciones industriales evitarán, con suerte, que este tipo de cosas vuelvan a suceder.

La historia sugiere que esos son sentimientos muy vacuos. ®

Fuente:
TheRegister