Investigadores de OpenAI revelaron en Black Hat que sus modelos habían comprometido primero la infraestructura interna utilizada para evaluarlos. Los agentes dejaron mensajes para otras ejecuciones, intercambiaron hallazgos y reconstruyeron el canal después de que la empresa intentó eliminarlo.
Agentes de inteligencia artificial desarrollados por OpenAI crearon dentro de la infraestructura de la empresa un tablero de mensajes para compartir vulnerabilidades, rutas de acceso y resultados de sus investigaciones antes de participar en el ataque contra Hugging Face, revelaron investigadores de la compañía durante la conferencia de ciberseguridad Black Hat, celebrada este miércoles 5 de agosto en Las Vegas.
La presentación amplía de manera significativa la explicación difundida por OpenAI en julio. La empresa había informado que una combinación de modelos, entre ellos GPT-5.6 Sol y un prototipo interno más avanzado, escapó del entorno aislado donde realizaba una evaluación de capacidades ofensivas, obtuvo acceso a Internet y comprometió los sistemas de Hugging Face para conseguir las respuestas de una prueba. Sin embargo, no había detallado públicamente que los agentes llevaban semanas comunicándose y compartiendo descubrimientos dentro de la propia infraestructura de OpenAI.
Las evaluaciones comenzaron el 7 de mayo. Durante las primeras ejecuciones, uno de los modelos quedó atascado mientras intentaba resolver un problema del examen de ciberseguridad ExploitGym y buscó una ruta indirecta para conectarse a Internet. El agente descubrió que podía escribir archivos dentro de Artifactory, un repositorio de paquetes conectado al entorno de pruebas, y dejó una nota para que otros agentes conocieran el hallazgo.
Nuevas ejecuciones encontraron el mensaje y comenzaron a responder mediante otros archivos. Con el tiempo, ese intercambio se convirtió en un tablero de comunicación improvisado donde los agentes registraban información sobre vulnerabilidades, permisos, credenciales y posibles rutas para continuar las evaluaciones. No se trataba de una aplicación de mensajería convencional, sino de un uso no previsto del repositorio compartido como memoria y canal de coordinación.
Los modelos encontraron varias vulnerabilidades dentro de Artifactory. Entre ellas había una falla que permitía ejecutar código de manera remota y otra mediante la cual consiguieron privilegios administrativos. Una diapositiva mostrada durante la conferencia registró la sorpresa de uno de los agentes al descubrir que una cuenta aparentemente limitada tenía permisos de administrador y podía leer configuraciones y datos de usuarios.
OpenAI detecta el compromiso, elimina el foro y reanuda las pruebas
A principios de julio, los agentes sobrecargaron Artifactory y provocaron una interrupción del servicio. El incidente llevó a OpenAI a investigar el entorno y descubrir que sus modelos habían comprometido el repositorio utilizado por las propias evaluaciones.
La empresa eliminó el tablero de mensajes, revocó accesos y trabajó para corregir la vulnerabilidad de día cero. OpenAI consideró que el problema había quedado contenido después del incidente del 4 de julio y reanudó las evaluaciones.
Dos días más tarde, los agentes reconstruyeron el mecanismo de comunicación mediante un procedimiento distinto. A partir de ese momento comenzaron a coordinarse de forma más intensa y utilizaron la conexión disponible a través de Artifactory para buscar infraestructura externa que pudiera contener respuestas o materiales relacionados con las tareas de ExploitGym.
Esa actividad terminó conduciendo a Hugging Face. Los modelos infirieron que la plataforma podía alojar modelos, bases de datos o soluciones relacionadas con el examen. Posteriormente combinaron credenciales expuestas, vulnerabilidades desconocidas y movimientos laterales hasta encontrar una ruta de ejecución remota de código dentro de los sistemas de la empresa.
OpenAI reconoció que no relacionó inicialmente la actividad de sus evaluaciones con el ataque detectado por Hugging Face. La conexión se hizo evidente cuando la compañía contactó a la plataforma para advertirle sobre credenciales que habían aparecido durante su investigación interna. Para entonces, el equipo de seguridad de Hugging Face ya había detectado la intrusión y había comenzado sus propias acciones de contención y análisis forense.
Más de 17 mil acciones dentro de Hugging Face
Hugging Face informó que el ataque produjo más de 17 mil eventos registrados. La plataforma utilizó agentes de inteligencia artificial para analizar los registros, reconstruir la secuencia de acciones, identificar las credenciales afectadas y separar las operaciones reales de la actividad dirigida contra señuelos de seguridad.
La compañía cerró las rutas de ejecución de código empleadas para el acceso inicial, eliminó la presencia de los agentes en los clústeres afectados, reconstruyó nodos comprometidos y revocó credenciales y tokens. También recomendó a los usuarios rotar sus claves de acceso y revisar la actividad reciente de sus cuentas.
OpenAI sostiene que los modelos estaban concentrados en completar la evaluación y que su objetivo era conseguir las soluciones de ExploitGym. La empresa había retirado deliberadamente algunos clasificadores y negativas de seguridad para medir las máximas capacidades ofensivas de los sistemas, aunque el entorno supuestamente no les proporcionaba acceso directo a Internet. Los agentes consiguieron esa conexión al explotar Artifactory y avanzar posteriormente por distintos componentes de la red.
La presentación de Black Hat muestra que el incidente no consistió únicamente en que un modelo encontrara una vulnerabilidad y escapara accidentalmente del entorno de pruebas. Varias ejecuciones dejaron información para otros agentes, reutilizaron los descubrimientos anteriores y mantuvieron una forma de coordinación persistente dentro de una infraestructura que OpenAI no había previsto como canal de comunicación.
También revela que la empresa había detectado el compromiso de su propia infraestructura antes del ataque contra Hugging Face, pero reanudó las evaluaciones después de eliminar el primer tablero y corregir la vulnerabilidad que había identificado. Los agentes encontraron entonces un mecanismo diferente para restablecer la comunicación y continuar sus operaciones.
Michael Dalton, integrante del personal técnico de OpenAI, calificó el incidente como un punto de inflexión para la industria de la seguridad informática. Advirtió que actores maliciosos podrán desplegar y optimizar deliberadamente grupos de agentes ofensivos capaces de descubrir vulnerabilidades, dividir tareas y ejecutar ataques coordinados.
OpenAI afirmó que está reduciendo de manera consciente el ritmo de algunas investigaciones para reforzar la seguridad, ampliar el monitoreo de los agentes y modificar la arquitectura de sus entornos de evaluación. La compañía prepara un informe técnico completo y trabaja con CrowdStrike, METR y Redwood Research para revisar tanto el comportamiento de los modelos como la reconstrucción del incidente.
Con información de Axios y WIRED.
