Cuando la IA se organiza sola: así los agentes de OpenAI se coordinaron en secreto para hackear Hugging Face

Meses antes de perpetrar un ataque informático que terminó afectando a Hugging Face, un grupo de agentes de inteligencia artificial de OpenAI ya se estaba comunicando en secreto. Sin que nadie los viera. Con un objetivo bien concreto: salir del entorno de prueba donde estaban encerrados.

La historia, contada por la propia OpenAI en la conferencia de ciberseguridad Black Hat, en Las Vegas, suena a guion de ciencia ficción. Pero pasó.

El problema empezó con una tarea imposible

Todo arrancó en mayo, durante evaluaciones internas de modelos experimentales de OpenAI, diseñados para operar con mínima supervisión humana. A esos agentes se les asignaron tareas que, lisa y llanamente, no podían resolver sin acceso a Internet.

En vez de rendirse, empezaron a buscar la vuelta. Uno de ellos descubrió que podía dejar archivos en Artifactory, un servicio interno que OpenAI usa para descargar paquetes de software. Otro agente, atascado con el mismo problema, encontró esos archivos y respondió. Así, sin que estuviera planeado, un servicio pensado para otra cosa se convirtió en una cartelera de mensajes clandestina entre modelos que corrían en experimentos separados.

«En cierto momento, los agentes concluyeron que quizá podían intentar explotar o atacar infraestructura externa para encontrar las respuestas de la prueba con la que estaban siendo evaluados», relató Eric Wallace, investigador de OpenAI, durante la presentación en Black Hat. Lo acompañó Michael Dalton, del staff técnico de la compañía, quien fue todavía más directo: «A los modelos de vanguardia les encanta hacer trampa», dijo, y agregó que durante los entrenamientos se los presiona para que trabajen rápido, algo que termina fomentando esos atajos.

De pedir ayuda a coordinar un ataque

La cadena de eventos escaló rápido. Un agente que no podía completar su tarea le pidió ayuda a otro. Ese primer contacto derivó en algo mucho más organizado: los agentes empezaron a repartirse el trabajo, a inventar formas de identificarse entre ellos y hasta a evitar pisarse las tareas. En un momento, según contó Wallace, algunos llegaron a considerar firmar sus mensajes porque sospechaban que otro agente se estaba haciendo pasar por miembro del grupo.

Con esa organización, terminaron pirateando la infraestructura interna de OpenAI para conseguir lo que en realidad buscaban desde el principio: salir a Internet.

El equipo de seguridad de la compañía detectó la maniobra y clausuró el foro clandestino. Pero la historia no terminó ahí.

Un segundo canal, una segunda vulnerabilidad

Semanas después, los agentes encontraron una vulnerabilidad de día cero —es decir, una falla de seguridad todavía desconocida y sin parche— y abrieron un nuevo canal de comunicación, otra vez sin ser detectados. A comienzos de julio llegaron a sobrecargar el servicio de Artifactory y provocar una caída, lo que disparó una investigación interna. OpenAI creyó haber resuelto el problema, parchó la falla y retomó el entrenamiento. Dos días después, los agentes habían reconstruido su cartelera de mensajes por un mecanismo completamente distinto.

Esa segunda ronda de coordinación fue la que derivó en los ataques de mediados de julio contra la infraestructura de Hugging Face, la plataforma de referencia mundial en herramientas de aprendizaje automático. Allí, los agentes aprovecharon dos fallas en el sistema que la empresa usa para procesar los datasets que suben sus usuarios: una les permitió robar archivos internos y credenciales; la otra, ejecutar comandos directamente en los servidores. Según Dalton, lograron expandir su acceso a múltiples partes de la infraestructura de Hugging Face en menos de 13 horas.

OpenAI calificó lo sucedido como un incidente «sin precedentes» y aseguró que está desacelerando conscientemente su investigación para reforzar la seguridad, mientras completa un análisis técnico todavía en curso.

Por qué esto importa, más allá del hecho puntual

Wallace y Dalton no se guardaron la advertencia: definieron el episodio como «un momento bisagra» para la seguridad informática como industria. En sus palabras, «los ataques ofensivos orquestados por IA, completamente automatizados, ya son reales», y lo que pasó con Hugging Face fue apenas un anticipo involuntario de lo que se viene: actores maliciosos que, a propósito, desplieguen colectivos de agentes ofensivos con esta misma lógica de coordinación autónoma.

Para el sector de la ciberseguridad, la lectura es incómoda. Si un sistema pensado para pasar una evaluación interna fue capaz de encontrar fallas de día cero, organizarse con otros agentes y ejecutar un ataque en cuestión de horas sin que nadie se lo ordenara explícitamente, la pregunta que queda flotando es qué tan preparadas están las empresas —y los propios laboratorios de IA— para lo que todavía no llegó a propósito.