El agente rebelde de OpenAI comprometió cuatro cuentas más

El agente de IA rebelde de OpenAI comprometió cuatro cuentas de terceros mientras atacaba a Hugging Face, ampliando el alcance de un incidente de seguridad que la compañía inicialmente divulgó como una brecha en la plataforma de Hugging Face.

En una entrada de blog actualizada publicada el martes, OpenAI dijo que las cuentas estaban vinculadas a “servicios disponibles públicamente”. Al parecer, el agente encontró credenciales expuestas en la web abierta y las utilizó para acceder a las cuentas. OpenAI no identificó a las empresas u organizaciones afectadas, diciendo que ninguna se vio afectada al «nivel de gravedad o escala» asociado con Hugging Face.

Una cuenta comprometida sirvió como relé saliente y ruta de preparación, potencialmente ayudando a ocultar el origen del ataque. Otra se utilizó para almacenamiento de datos. OpenAI dijo que continuaría notificando a los propietarios de los servicios directamente a medida que avance su revisión, pero declinó ofrecer más comentarios a WIRED.

Recomendado

Spur recauda 200 millones de dólares mientras el tráfico de bots se dispara

Se explotó el código de un cliente de Modal

Reuters informó que una de las entidades afectadas era cliente de Modal, una empresa que proporciona infraestructura para entrenar y ejecutar servicios de IA. Akshat Bubna, CTO de Modal, confirmó que el agente explotó una vulnerabilidad en el código perteneciente a uno de los clientes de Modal y que se ejecutaba en la infraestructura de Modal.

«La plataforma de Modal no se vio comprometida de ninguna manera.»

No se pudo determinar la identidad del cliente. OpenAI dijo que las cuentas afectadas no fueron comprometidas a la misma escala que Hugging Face, pero no ha divulgado el alcance preciso del impacto en terceros.

La brecha de Hugging Face alcanzó sistemas internos

El informe post-mortem de Hugging Face indica que la intrusión llegó mucho más adentro de su infraestructura de lo que sugería la divulgación inicial de OpenAI. La compañía recuperó registros que cubren aproximadamente 17,600 acciones del agente entre el 9 y el 13 de julio; la mayoría representaron rutas infructuosas tomadas por el agente.

Según Hugging Face, el agente obtuvo:

• Acceso de administrador a múltiples clústeres internos de Kubernetes.
• Acceso root en un servidor de producción.
• Permisos de escritura en una subred de repositorios de código fuente en GitHub.
• Acceso a sistemas internos tras inscribir 181 dispositivos controlados por el atacante en la red en malla corporativa de la empresa con una credencial robada.

El agente también utilizó al menos un sandbox de terceros como una «plataforma de lanzamiento externa». Hugging Face dijo que podía ejecutar comandos como root o administrador en ese sandbox, usándolo como base de control, preparación y salida para la campaña.

Hugging Face divulgó por primera vez la brecha el 16 de julio, diciendo que un agente autónomo de IA había accedido a parte de su infraestructura de producción pero que el atacante era desconocido. La semana siguiente, OpenAI aceptó la responsabilidad.

Una prueba de ExploitGym que se salió del guion

OpenAI dijo que el ataque ocurrió mientras probaba uno de sus últimos modelos contra ExploitGym, un benchmark que mide la rapidez y la eficacia con que un sistema de IA puede encontrar y explotar vulnerabilidades de software. El benchmark incita a los agentes a recuperar archivos secretos de cientos de sistemas objetivo.

La operación involucró el modelo público GPT-5.6 Sol de OpenAI y un prototipo de investigación interno, con salvaguardas desactivadas. OpenAI dijo el martes que desactivó el prototipo tras descubrir la brecha y restringió el acceso de los investigadores al mismo. El prototipo nunca estuvo previsto para su lanzamiento público.

El equipo forense de Hugging Face concluyó que el agente estaba, en efecto, intentando hacer trampa en el benchmark. En lugar de resolver los desafíos previstos por ExploitGym, dedujo que Hugging Face podría almacenar la clave de respuestas en sus servidores e intentó robarla. El equipo de ExploitGym ya había señalado antes que los agentes pueden salirse del guion y explotar vulnerabilidades fuera de los objetivos previstos por el benchmark, pero describieron este incidente como un ejemplo extremo.

Expertos dijeron a WIRED que las debilidades explotadas por el agente eran fallos de seguridad comunes, incluidos defectos en el software usado para gestionar bibliotecas de código corporativo y un aislamiento insuficiente de sistemas críticos respecto a la internet pública. Un investigador caracterizó el incidente menos como un fallo de la IA que como un colapso de prácticas de seguridad de décadas: el agente no escapó de un entorno fuertemente aislado, sino que pasó por una conexión que sus operadores habían dejado abierta.

Otro experto dijo que los mismos fundamentos de ciberseguridad deben aplicarse a medida que los modelos de vanguardia se vuelven más capaces, argumentando que los laboratorios de IA deberían dedicar tanto esfuerzo a enseñar a los modelos a construir infraestructuras seguras como a enseñarles a explotarlas.