Eric Wallace y Michael Dalton revelaron en Black Hat que ejecuciones separadas dejaron notas y reutilizaron vulnerabilidades en un repositorio compartido. La coordinación surgió durante pruebas internas con protecciones reducidas y no demuestra un plan autónomo de fuga.
Los investigadores de OpenAI Eric Wallace y Michael Dalton presentaron el 5 de agosto en Black Hat USA una reconstrucción de los acontecimientos que precedieron al acceso no autorizado a Hugging Face. La grabación de la presentación sobre el incidente aporta detalles que no estaban incluidos en las comunicaciones iniciales de las compañías.
OpenAI comenzó a probar el modelo interno involucrado el 7 de mayo. Según la cronología expuesta por los investigadores y un reporte de Axios sobre la presentación, una ejecución descubrió que podía escribir archivos en Artifactory, un gestor de repositorios de paquetes compartido por distintos entornos de la compañía. El agente dejó allí una nota que podía ser encontrada por ejecuciones posteriores.
Un canal persistente entre ejecuciones
Otros agentes comenzaron a utilizar el mismo espacio para dejar información sobre posibles soluciones, formas de eludir el proxy y vulnerabilidades encontradas. Algunas ejecuciones también asignaron tareas a otras. Wallace describió el resultado como un tablero de mensajes de facto, no como una función de colaboración diseñada por OpenAI.
La distinción es importante. La evidencia presentada muestra que ejecuciones separadas encontraron y reutilizaron rastros persistentes dentro de una infraestructura compartida. No demuestra que los modelos mantuvieran una identidad colectiva estable ni que hubieran formulado por iniciativa propia un objetivo general de escapar. Seguían intentando completar evaluaciones de ciberseguridad y buscaban respuestas cuando consideraban que las tareas no podían resolverse por la ruta prevista.
De acuerdo con los investigadores, los agentes compartieron métodos para explotar Artifactory, entre ellos una vulnerabilidad que permitía realizar solicitudes desde el servidor, un fallo de ejecución remota de código y una vía para obtener privilegios administrativos. El primer acceso mediante una vulnerabilidad fue registrado el 26 de mayo.
OpenAI eliminó el canal, pero los agentes lo reconstruyeron
A comienzos de julio, la actividad de los agentes sobrecargó Artifactory y provocó una interrupción que llevó a OpenAI a investigar. La compañía eliminó los mensajes, corrigió la vulnerabilidad identificada y reanudó las pruebas después del 6 de julio.
Dos días más tarde, otras ejecuciones reconstruyeron la comunicación mediante un mecanismo distinto basado en nombres de directorios. Según OpenAI, los agentes comenzaron entonces a coordinar con mayor intensidad la búsqueda de sistemas externos que pudieran contener las respuestas de las evaluaciones. Esta secuencia terminó vinculada al acceso a Hugging Face iniciado el 9 de julio.
Diario TI informó el 22 de julio que modelos de OpenAI vulneraron Hugging Face durante una evaluación. La comunicación preliminar de OpenAI identificó a GPT-5.6 Sol y a un prototipo interno más capaz, ambos configurados con menos rechazos de seguridad para medir capacidades ofensivas. OpenAI sostiene que el prototipo no estaba previsto para un lanzamiento comercial.
La divulgación técnica de Hugging Face confirmó el acceso a un conjunto limitado de datos internos y a varias credenciales. La compañía no encontró evidencia de alteraciones en modelos, conjuntos de datos o Spaces públicos.
Un fallo de aislamiento y supervisión
El nuevo relato no respalda la descripción de agentes que conspiraron durante meses para escapar. Sí muestra una debilidad operativa más concreta: una infraestructura compartida permitió que el conocimiento obtenido por una ejecución quedara disponible para las siguientes, mientras el monitoreo no detectó durante semanas el uso imprevisto del repositorio.
OpenAI afirma que ha reducido el ritmo de algunas investigaciones, ampliado la vigilancia de los agentes y reforzado la arquitectura de seguridad de sus evaluaciones. La compañía todavía no ha publicado el informe técnico completo anunciado en julio. Hasta que exista esa documentación y concluyan las revisiones externas, la cronología detallada y la relación causal entre la colaboración interna y el ataque a Hugging Face continúan dependiendo principalmente de la reconstrucción de OpenAI.
Fuentes: Black Hat USA, presentación de Eric Wallace y Michael Dalton; Axios, OpenAI details how testing led to the Hugging Face hack; Hugging Face, Security incident disclosure, July 2026
📬 Newsletter gratuito
