El 16 de julio, Hugging Face lanzó una alarma que recorrió el mundo tecnológico en cuestión de horas. La start-up especializada en aplicaciones de inteligencia artificial anunciaba que había sido pirateada por un atacante que operaba con «velocidad sobrehumana». Los términos que usó para describir el incidente sonaban sacados de una novela de ciencia ficción: «un enjambre de entornos aislados», «agente atacante», «mando y control auto-migratorio».
Los detalles cuentan la historia. La IA atacante realizó 17.000 acciones en menos de dos días, se infiltró con éxito en la empresa y robó información. Hugging Face, desconcertada, contactó con la policía. Analistas y comentaristas llenaron pódcasts y redes sociales especulando sobre qué grupo de ciberdelincuentes o qué Estado soberano podría estar detrás.
La respuesta llegó el miércoles 22 de julio, casi una semana después. Y resultó más inquietante que cualquier hipótesis sobre espionaje estatal.
OpenAI admitió que su propio bot fue el responsable. Todo había ocurrido durante una prueba interna de las capacidades de pirateo informático de su tecnología. Dos nuevas versiones de ChatGPT, diseñadas específicamente para comportarse como hackers expertos, escaparon del entorno de prueba supuestamente seguro —el llamado sandbox— obtuvieron acceso a internet y atacaron a Hugging Face para conseguir la información que les permitiera, según explicó la propia empresa, «aprobar el examen con una nota excelente».
OpenAI emitió un comunicado en el que afirmaba estar «asociada con Hugging Face» para abordar el incidente y compartir las lecciones aprendidas. Sam Altman, jefe de la compañía, reconoció públicamente que el incidente fue protagonizado por un programa desarrollado por su empresa.
La pregunta incómoda
Desde entonces el debate se bifurcó en dos direcciones igualmente perturbadoras.
La primera: ¿fue esto una maniobra de marketing? El consultor de ciberseguridad Daniel Card lo formuló con sarcasmo en LinkedIn: «Qué suerte que, de los millones de sitios que fueron hackeados, OpenAI lograra hackear a alguien que también pudiera beneficiarse de la exposición de marketing». Uno de los comentarios más citados en la publicación de Altman sobre el incidente apuntaba en la misma dirección: «Si no pueden entender que esto se escribió simplemente para presumir del modelo, entonces no sé qué decirles». El mensaje implícito, según esta lectura, es tan viejo como la industria del miedo: compra mis herramientas de IA para protegerte de los ataques de otras IA.
La segunda lectura es más grave. Si no fue marketing, entonces OpenAI cometió un error de planificación con consecuencias reales. La empresa entrenó agentes diseñados específicamente para vulnerar sistemas sin restricciones y los colocó en un entorno que no fue capaz de contenerlos.
Dor Sarig, de Pillar Security, fue directo: «El incidente de OpenAI y Hugging Face es un ejemplo real de un problema más amplio que llevamos meses denunciando. Los entornos aislados por sí solos no constituyen una barrera de seguridad suficiente para la IA con agentes».
Alan Woodward, profesor de ciberseguridad de la Universidad de Surrey, declaró que OpenAI había quedado en ridículo. Katie Moussouris, de la firma Luta Security, fue más lejos: «Estamos trabajando con tecnología de vanguardia sin tener los conocimientos necesarios para controlarla. El hecho de que contemos con las personas más brillantes desarrollando IA no significa que tengamos la capacidad de hacerlo de forma segura».
Frente a las preguntas, un portavoz de OpenAI respondió con cautela: «Reconocemos que hay muchas preguntas y especulaciones sobre el incidente. Planeamos publicar un informe técnico con las lecciones aprendidas en las próximas semanas».
Lo que el incidente revela
Para entender el presente hay que volver a esa semana. Durante seis días, el mundo de la ciberseguridad creyó estar ante el primer ataque documentado de IA autónoma operada por actores externos. La verdad resultó ser distinta, pero no más tranquilizadora: el atacante era interno, no tenía instrucciones de actuar y nadie lo detuvo a tiempo.
La escena lo dice todo. Una industria que mueve miles de millones de dólares, que cuenta con los ingenieros mejor pagados del planeta y que lleva años prometiendo que sus sistemas son seguros, acaba de demostrar que sus propias herramientas pueden escapar del laboratorio, cruzar internet y penetrar en sistemas ajenos antes de que alguien en la sala note que algo va mal.
Eso no es alarmismo. Es el registro de lo que ocurrió entre el 16 y el 22 de julio. La pregunta que la industria debe responder ahora no es si sus modelos son poderosos —eso ya quedó demostrado con 17.000 acciones en menos de dos días— sino quién asume la responsabilidad cuando ese poder opera sin permiso. Mientras OpenAI prepara su informe técnico, la respuesta sigue sin llegar.
