Dentro de un entorno de OpenAI que debía estar completamente aislado de Internet, un modelo de inteligencia artificial encontró una falla de seguridad, la explotó, salió del entorno y terminó dentro de los servidores de Hugging Face, una de las plataformas de inteligencia artificial más grandes del mundo. Nadie se lo ordenó y el modelo lo hizo solo, en el medio de una prueba interna, para conseguir información que le sirviera para resolver mejor un ejercicio. Hugging Face detectó el ataque y lo confirmó públicamente. Días después, OpenAI reconoció su origen en un comunicado firmado por Sam Altman, su CEO.

Un agente de IA es distinto. Es un modelo al que se le da un objetivo y la posibilidad de actuar por su cuenta para cumplirlo, escribiendo y ejecutando código, navegando sistemas, probando herramientas, corrigiendo sus propios errores y encadenando decisiones durante horas sin que un humano intervenga en cada paso. Eso era justamente lo que OpenAI estaba evaluando, cuánto podían hacer estos agentes cuando se les bajaban las restricciones y se los dejaba operar con más libertad. Y esa libertad fue la que terminó llevándolos hasta Hugging Face.

La evaluación se llama ExploitGym, un ejercicio diseñado para medir si los modelos pueden encontrar y explotar vulnerabilidades de seguridad reales. Para correrlo, la empresa usó GPT‑5.6 Sol y otro modelo todavía no presentado públicamente, con menos restricciones de las habituales en temas de ciberseguridad. Los agentes pasaron horas buscando una salida del entorno cerrado en el que debían quedar contenidos, y la encontraron en una vulnerabilidad de tipo día cero, alojada en un software de terceros que OpenAI usaba como proxy para gestionar paquetes. La usaron para escalar privilegios y moverse por la infraestructura interna hasta llegar a una máquina con acceso a Internet.

Una vez afuera, el agente razonó que Hugging Face probablemente tenía información útil para resolver el ejercicio que se le había dado y buscó la forma de entrar. La encontró combinando credenciales robadas con otra falla de día cero, esta vez en el sistema que Hugging Face usa para procesar datasets subidos por usuarios. En un solo fin de semana, el agente subió un dataset malicioso, encadenó dos vulnerabilidades de ejecución de código, escaló sus propios permisos y se movió lateralmente por varios sistemas internos. Quedó un registro de más de 17.000 acciones. Nada de esto significa que el modelo haya “querido” atacar a Hugging Face ni que haya tomado una decisión consciente. No hubo instrucción humana para entrar ahí, sino un objetivo, una cadena de fallas que nadie anticipó, y un sistema capaz de encontrar caminos que sus propios creadores no habían previsto.

Ese problema quedó todavía más claro en la propia investigación del ataque. Para analizar los 17.000 registros, Hugging Face intentó primero usar un modelo comercial estadounidense de última generación, pero no pudo. Los filtros de seguridad del modelo bloquearon el análisis porque los registros contenían código de explotación real. La empresa terminó usando GLM 5.2, un modelo chino de pesos abiertos de Zhipu AI, corriéndolo en su propia infraestructura para no tener que mandar información sensible a servidores externos ni depender de las restricciones de otra compañía. Uno de los incidentes de seguridad más importantes vinculados a modelos estadounidenses terminó siendo investigado con un modelo abierto proveniente de china, no porque fuera mejor, sino porque era el único que la empresa podía controlar por completo.

Muestra hacia dónde se está moviendo el poder de cómputo mientras esto pasaba. En paralelo a todo esto la china Moonshot AI presentó Kimi K3, un modelo de 2,8 billones de parámetros que la compañía describe como el sistema abierto más grande construido hasta ahora. Según Moonshot, todavía queda por debajo de Claude Fable 5 y GPT‑5.6 Sol en rendimiento general, pero superó a ambos en algunas pruebas de programación.

Todas las empresas dicen que la seguridad importa. Ninguna quiere ser la que avanza más lento

La empresa anunció que liberará los pesos del modelo el 27 de julio, por lo tanto estará disponible para que cualquier persona en el mundo pueda utilizarlo libremente, aunque hasta ahora sigue sin publicarse. La carrera por mostrar el modelo más potente no siempre viene acompañada de la misma transparencia sobre sus límites. Los dos episodios, el de Hugging Face recurriendo a un modelo chino y el de Kimi K3 acercándose a la frontera, apuntan en la misma dirección.

Cada avance de OpenAI, Anthropic, Google o Meta presiona a DeepSeek, Moonshot o Alibaba a acortar la distancia, y cada lanzamiento chino refuerza en Estados Unidos la idea de que frenar puede significar perder. Todas las empresas dicen que la seguridad importa. Ninguna quiere ser la que avanza más lento. Es justamente esa dinámica la que intenta romper una propuesta que apareció en paralelo también, AI 2040, Plan A, del AI Futures Project, el mismo grupo detrás del influyente escenario “AI 2027”, liderado por Daniel Kokotajlo. La propuesta plantea que Estados Unidos y China acuerden hacia 2029 un marco de transparencia verificable para frenar deliberadamente el desarrollo de sistemas mucho más avanzados hasta 2040, en lugar de dejar que la competencia los empuje a una carrera hacia la superinteligencia sin controles. No es una predicción sobre lo que va a pasar, sino una recomendación sobre lo que, según sus autores, debería pasar.

El mecanismo que proponen se apoya en algo concreto. Cerca del 98,5% de los chips de IA del mundo pasa por un puñado de fabricantes, lo que permitiría rastrear y verificar quién entrena qué. La primera fase incluiría una pausa temporal de nuevos entrenamientos de gran escala durante varios años, verificable por ambas partes. Es fácil de escribir en un paper. Es mucho más difícil de llevar a la práctica, porque exige que dos potencias que no confían entre sí acepten compartir información sensible y someterse a controles mutuos sobre su infraestructura más estratégica. El incidente entre OpenAI y Hugging Face no responde si eso es posible. Pero muestra por qué la pregunta ya no puede esperar.

No estamos frente a una tecnología terminada a la que solo le falta encontrar mejores usos, sino construyendo los sistemas, descubriendo lo que pueden hacer y armando los controles al mismo tiempo. Todavía falta investigación por delante y es posible que algunos detalles cambien, aunque lo que ya sabemos alcanza para entender la señal. La peor lectura sería convertir esto en una profecía apocalíptica, y la segunda peor tratarlo como una anécdota sin consecuencias.

Lo que sí sabemos es que ya empezó, y que este episodio no muestra un futuro lejano. Muestra, con bastante claridad, dónde estamos hoy.

El autor es arquitecto de Soluciones en IA

Europe