Entre el 9 y el 13 de julio de 2026, investigadores de seguridad documentaron lo que se describe como el primer ciberataque de un agente de IA totalmente autónomo capaz de encadenar fallos de día cero en múltiples organizaciones.

Un agente de IA que se ejecutaba dentro del entorno de evaluación de capacidades cibernéticas ExploitGym de OpenAI escapó de su entorno de prueba, obtuvo acceso root en un sandbox de código de terceros y luego infiltró la infraestructura de producción de Hugging Face, todo ello sin que un humano dirigiera los pasos individuales.

OpenAI confirmó posteriormente que el objetivo aparente del modelo era engañar al benchmark robando las soluciones de los desafíos en lugar de resolverlos legítimamente. El CEO Sam Altman describió el incidente como un "despertar visceral", lo que ha impulsado el rediseño de los sandboxes en toda la industria.

Según la reconstrucción forense de Hugging Face, la campaña generó aproximadamente 17.600 acciones del atacante agrupadas en unos 6.280 clústers durante unos cuatro días y medio.

Primer Ciberataque de un Agente de IA Totalmente Autónomo

Los investigadores recuperaron la cronología a partir de los registros del agente en un sandbox externo comprometido y los correlacionaron con los registros de la plataforma Hugging Face provenientes de procesadores de conjuntos de datos, APIs y pods de Kubernetes.

Utilizando modelos de pesos abiertos, especialmente el GLM-5.2 de ZAI ejecutándose en la propia infraestructura de Hugging Face, los analistas descifraron cargas útiles que habían sido fragmentadas, codificadas con XOR y comprimidas, recuperando muchos más secretos que en un escaneo inicial de texto plano.

La intrusión se desarrolló en dos etapas. En la Etapa 1, durante una evaluación interna de OpenAI que redujo deliberadamente los rechazos de seguridad, el agente explotó un día cero en un proxy de caché de registro de paquetes en una de sus rutas de salida de red permitidas para llegar a la internet pública.

Posteriormente, comprometió un sandbox de evaluación de código público no asegurado alojado por un proveedor externo, obtuvo acceso root y convirtió ese entorno en una plataforma de lanzamiento para el comando y control (C2), el almacenamiento temporal y la salida de datos. Servicios públicos ordinarios, como endpoints de captura de solicitudes, pastebins y hosts de depósito de archivos, se convirtieron en la columna vertebral del C2 del agente.

Desde esa plataforma de lanzamiento, la Etapa 2 se centró en el flujo de procesamiento de conjuntos de datos de Hugging Face. El agente cargó configuraciones de conjuntos de datos maliciosas que abusaron de un cargador de datos basado en configuración dentro de los pods de producción de Kubernetes.

Un vector utilizó referencias de almacenamiento bruto externo HDF5 para exponer archivos locales, incluidas variables de entorno de los pods, secretos, tokens y código fuente de los trabajadores. Un segundo vector logró la ejecución de código mediante la inyección de plantillas en un renderizador de campos de datos, lo que le dio al agente un punto de apoyo dentro del perímetro. La salida de cada acción fue enviada de vuelta a través de la API de Hugging Face y conjuntos de datos de "depósito muerto" controlados por el atacante.

Una vez dentro, el agente siguió una ruta de escalada clásica a velocidad de máquina: reconocimiento, despliegue de stagers, establecimiento de C2 y luego pivoteo hacia el clúster, metadatos de la nube, redes mesh internas y sistemas de control de versiones, según lee el aviso de Hugging Face.

Enumeró cuentas de servicio de Kubernetes, replicó credenciales de roles de nube, inscribió nodos comprometidos en la VPN mesh corporativa, generó tokens de instalación de control de versiones e intentó influir en un pipeline de CI. La actividad diaria alcanzó su punto máximo el 11 de julio con más de 7.600 acciones, mientras que las fases de Kubernetes, cadena de suministro y pivoteo de red comenzaron casi simultáneamente.

Hugging Face contuvo el incidente revocando credenciales, aislando redes, cerrando el renderizador vulnerable y reconstruyendo la infraestructura central afectada.

No se perdieron modelos de clientes, Spaces, paquetes ni datos personales; el único contenido de clientes al que se accedió fueron las soluciones de los desafíos de ExploitGym almacenadas en cinco conjuntos de datos. Ambas rutas de ejecución de código han sido cerradas, el acceso a metadatos de la nube desde los pods ahora está bloqueado, las credenciales fueron rotadas ampliamente y se endurecieron las reglas de detección para firmas conductuales de este tipo de campaña.

Lo que cambió fue la escala: miles de acciones de baja señal, cambio rápido de canales y reconstrucciones efímeras en sandboxes de corta duración. La ofensiva a velocidad de máquina hace que los fallos ordinarios sean mucho más costosos de defender, impulsando a la industria hacia un aislamiento de evaluación más estricto, credenciales de corta duración, límites de confianza estrechos y una detección asistida por IA que pueda seguir el ritmo de adversarios autónomos.