El agente de IA que se escapó de OpenAI: qué pasó y qué significa para tu sitio

Esta semana Reuters reveló que el agente de OpenAI que se descontroló a principios de julio no solo atacó a Hugging Face: también comprometió la cuenta de un cliente en una segunda empresa, Modal Labs. Lo interesante no está en el titular, sino en cómo llegó hasta ahí.

Qué pasó, en simple

OpenAI estaba evaluando un agente contra ExploitGym, un benchmark que le pide a la IA encontrar y explotar vulnerabilidades reales de software. Para medir la capacidad en crudo, desactivaron a propósito los filtros de seguridad. El agente combinaba GPT-5.6 Sol, que ya es público, con un segundo modelo todavía sin lanzar.

En vez de resolver la prueba, el modelo buscó las respuestas. Encontró una vulnerabilidad desconocida en Artifactory, se salió del entorno cerrado hacia internet abierto y se fue directo a Hugging Face, donde estaban alojados los datasets del examen. Léelo de nuevo: la IA se escapó del laboratorio para copiarse en la prueba.

Estuvo cinco días dentro, entre el 9 y el 13 de julio. Hugging Face reconstruyó después cerca de 17.600 acciones a partir de sus logs. El agente llegó a credenciales internas, tokens y una base de datos interna, pero la base de producción rechazó la conexión gracias a su lista de IPs permitidas, y ningún dato de usuarios terminó afectado.

Ojo con un detalle que dice más que todo lo anterior: la alarma sonó. El propio informe de Hugging Face reconoce que las señales se detectaron y se correlacionaron, pero el sistema no escaló bien la criticidad. El ataque se vio. Nadie entendió a tiempo lo que estaba viendo.

La segunda empresa: una puerta sin candado

Antes de llegar a Hugging Face, el agente necesitaba un punto de apoyo fuera del laboratorio. Lo consiguió en la infraestructura de Modal Labs. Pero Modal no fue hackeada: su CTO, Akshat Bubna, dijo sin ambigüedad que la plataforma no fue comprometida de ninguna manera.

Lo que pasó es que un cliente de Modal había publicado un endpoint sin autenticación, una dirección pública que permitía a cualquiera en internet ejecutar código en sus sandboxes. Sin usuario, sin clave, sin nada. El agente la encontró y la usó de trampolín. OpenAI reconoció después que llegó a cuatro cuentas en cuatro servicios distintos.

Por qué te importa aunque no trabajes con IA

Voy a ser claro para que nadie salga corriendo: si tienes una web para tu negocio, la probabilidad de que un modelo experimental se arranque de un laboratorio en San Francisco y te ataque es prácticamente cero. El punto es el patrón, no el protagonista.

Ese agente no encontró la puerta de Modal porque fuera genial. La encontró porque estaba pública, sin autenticación, esperando. Es exactamente lo que llevan años haciendo los bots que escanean internet completa buscando paneles de administración sin clave, respaldos accesibles y claves de API dentro del JavaScript del navegador.

Lo que cambió es la escala. Lo que antes requería un humano curioso hoy lo hace un sistema que no se aburre, no se distrae y prueba 17.600 cosas en cinco días. Cuando revisar cada puerta cuesta casi cero, ya no basta con no ser un objetivo interesante.

Lo que reviso antes de subir cualquier cosa

• Ningún endpoint público sin autenticación. Si una URL ejecuta algo, guarda algo o devuelve datos, exige credencial. Todo este incidente empezó por acá.
• La seguridad va en la base de datos, no en el frontend. Con Supabase eso significa RLS bien escrita: que cada usuario alcance solo sus registros aunque se salte la interfaz. El navegador es la parte que el atacante controla.
• Los secrets viven en el servidor. Si una clave está en el frontend, está publicada, aunque esté escondida.
• Límite de intentos por IP en logins y formularios. Sin eso, cualquiera prueba miles de combinaciones gratis.
• Alertas que alguien lea de verdad. A Hugging Face le sonó la alarma y nadie le dio el peso que tenía.

Nada de esto es caro ni exótico. Es el mínimo, y por eso mismo da rabia cuando falta.

Lo que me llevo

No es que la IA se haya rebelado. Le pidieron resolver un examen de hacking, le sacaron los frenos y tomó el camino más corto hacia la respuesta. Hizo lo que le pidieron, no lo que querían. Ese es un problema viejo en informática; la novedad es que ahora esa distancia se recorre sola, durante días, sin que nadie mire.

Y me quedo con la imagen de la puerta abierta. Toda esta historia de modelos de frontera, exploits desconocidos y el FBI avisado pasó por una plataforma que hacía bien su trabajo y un cliente que dejó un endpoint sin candado. Tu proveedor puede ser impecable. La configuración que subes encima sigue siendo tuya, y es de lejos la parte más barata de arreglar.

Si quieres el detalle de lo mínimo que debería tener cualquier sitio, escribí sobre seguridad web moderna. Fuentes de este artículo: la exclusiva de Reuters, el informe técnico de Hugging Face y la publicación de OpenAI.