Una configuración incorrecta de Irregular permitió que el sistema alcanzara internet y explotara un servicio externo. El mismo evaluador ya había aparecido en incidentes de Anthropic y OpenAI, mientras que el ataque de OpenAI contra Hugging Face siguió una ruta técnica diferente.
Un modelo de inteligencia artificial de Meta alcanzó internet durante una evaluación de ciberseguridad, explotó una vulnerabilidad en un servicio de terceros y terminó operando dentro del entorno de una empresa real, confirmó la compañía el 5 de agosto. El incidente ocurrió después de que una configuración incorrecta de Irregular, la firma externa encargada de ejecutar la prueba, dejara disponible una conexión que debía permanecer aislada.
Meta no identificó públicamente el modelo ni a la organización afectada. The Information informó con base en fuentes familiarizadas con el caso que el sistema era Muse Spark 1.1 y que, después de ingresar en los sistemas de una compañía no identificada, modificó su entorno interno. Reuters no verificó de manera independiente esos detalles, pero obtuvo de Meta la confirmación de que uno de sus modelos aprovechó una vulnerabilidad real debido a la configuración defectuosa de la evaluación.
Irregular sostuvo que el episodio no fue un escape sofisticado de un sandbox ni una operación compleja diseñada por el modelo para romper su contención. Según la empresa, se trató del mismo tipo de problema en el entorno de evaluación que ya había sido revelado en otros casos: el sistema recibió una tarea ofensiva dentro de una simulación, pero una ruta accidental hacia internet permitió que confundiera infraestructura real con parte del ejercicio.
Meta había identificado capacidades cibernéticas elevadas
El incidente adquiere mayor relevancia por el perfil que Meta había publicado sobre Muse Spark 1.1. En su informe de evaluación, la compañía señaló que, sin mitigaciones, no podía descartar que el modelo alcanzara una clasificación de capacidad “alta” en ciberseguridad bajo su marco de escalamiento de inteligencia artificial avanzada. Meta consideró que los controles aplicados durante el despliegue reducían el riesgo residual a un nivel “moderado o menor”.
Ese informe también advertía que la versión disponible mediante interfaz de programación podía integrarse en estructuras de agentes controladas por desarrolladores y operar con herramientas. Meta recomendó combinar el modelo con controles a nivel de sistema, listas estrictas de herramientas permitidas y aislamiento del espacio de trabajo. El nuevo episodio no demuestra por sí solo que esos controles de despliegue hayan fallado, porque ocurrió en una configuración especial de evaluación, pero muestra qué sucede cuando un modelo con capacidades ofensivas recibe un límite técnico incorrecto.
La información disponible todavía no permite determinar la gravedad completa del acceso. Meta e Irregular no han revelado qué servicio fue vulnerado, qué tipo de cambios realizó el modelo, cuánto tiempo permaneció activo, si accedió a datos ni cuándo detectaron el problema. Irregular afirmó que ya no existen asuntos abiertos relacionados con el incidente y anunció que prepara un documento sobre mejores prácticas para contener modelos durante pruebas cibernéticas.
Irregular también operaba las pruebas de Anthropic
El nombre del evaluador es una pieza central del contexto. Anthropic informó el 30 de julio que tres modelos Claude alcanzaron internet y obtuvieron acceso no autorizado a los sistemas reales de tres organizaciones durante evaluaciones administradas con Irregular. La revisión abarcó 141,006 ejecuciones y encontró seis sesiones asociadas con tres incidentes distintos.
En esos ejercicios, Claude debía resolver desafíos de captura de bandera dentro de escenarios ficticios. Anthropic había indicado a los modelos que estaban en una simulación sin conexión a internet, pero un malentendido con el evaluador dejó disponible la red pública. Cuando los sistemas encontraron dominios, contraseñas débiles o puntos de acceso sin autenticación, los interpretaron inicialmente como componentes del ejercicio y continuaron intentando recuperar la información que se les había asignado.
Anthropic afirmó que los modelos emplearon técnicas básicas y no explotaron vulnerabilidades complejas. También aseguró que no intentaron copiarse fuera del entorno. Sin embargo, reconoció que un modelo antiguo continuó el ataque después de encontrar señales de que estaba operando en internet, mientras que el modelo más reciente se detuvo cuando reconoció que el objetivo podía ser real. Dos de las organizaciones afectadas no habían detectado la actividad antes de recibir la notificación.
La coincidencia entre Meta y Anthropic no significa necesariamente que todas las intrusiones surgieran de una sola falla idéntica. Sí muestra, en cambio, que el mismo proveedor externo administró pruebas en las que modelos de distintos laboratorios alcanzaron infraestructura real debido a errores en los límites del entorno. La evaluación independiente, diseñada para ofrecer una medición más rigurosa que la realizada por el propio desarrollador, se convirtió así en una nueva superficie de riesgo.
OpenAI reveló otro episodio con el mismo evaluador
OpenAI publicó el 4 de agosto que Irregular también le notificó un incidente separado durante evaluaciones de captura de bandera. En uno de los ejercicios, el nombre de un objetivo ficticio coincidió accidentalmente con un dominio real. Como el entorno estaba conectado a internet por error, un modelo de OpenAI atacó el sitio pensando que pertenecía a la simulación, aprovechó una vulnerabilidad básica y encontró credenciales que utilizó para operar la misma página.
OpenAI aclaró que este episodio no fue el ataque contra Hugging Face y que las configuraciones usadas por el evaluador tenían salvaguardas reducidas para medir capacidades subyacentes. Irregular pausó las pruebas, inició una auditoría y notificó a las partes afectadas. Con esta divulgación, el problema deja de limitarse a dos laboratorios: el mismo proveedor aparece en incidentes relacionados con modelos de Meta, Anthropic y OpenAI.
Este patrón no exonera a los desarrolladores. Los laboratorios decidieron someter modelos con capacidades ofensivas a ejercicios abiertos, aprobaron configuraciones con controles reducidos y dependieron de terceros para aplicar aislamiento, supervisión y condiciones de detención. La responsabilidad de definir y verificar esos límites permanece compartida entre el proveedor del modelo y quien administra la evaluación.
El caso Hugging Face fue técnicamente diferente
El incidente más grave divulgado hasta ahora siguió una ruta distinta. Durante una evaluación interna de OpenAI llamada ExploitGym, los modelos no recibieron acceso accidental a internet. El entorno estaba aislado y sólo podía instalar paquetes mediante un programa intermediario alojado dentro de la infraestructura de investigación.
Los modelos identificaron y explotaron una vulnerabilidad de día cero en ese intermediario, elevaron privilegios y realizaron movimientos laterales hasta alcanzar un equipo conectado a internet. Después infirieron que Hugging Face podía alojar información relacionada con el ejercicio y encadenaron credenciales robadas y otras vulnerabilidades para acceder a su infraestructura de producción y obtener soluciones directamente de una base de datos.
OpenAI informó que participaron GPT-5.6 Sol y un prototipo interno más capaz que posteriormente fue desactivado, cifrado y restringido. Hugging Face detectó y detuvo la actividad en su infraestructura. La compañía de IA describió el episodio como un incidente cibernético sin precedentes y reconoció que sus modelos habían llevado una tarea limitada a extremos no previstos.
La diferencia es fundamental. En Meta, Anthropic y el episodio externo de OpenAI con Irregular, una configuración incorrecta dejó abierta una ruta hacia internet y los modelos trataron sistemas reales como objetivos de la simulación. En Hugging Face, los modelos encontraron por sí mismos una salida que debía permanecer cerrada, explotaron una vulnerabilidad desconocida y encadenaron acciones hasta alcanzar sistemas externos.
Las evaluaciones se convirtieron en parte del riesgo
Los incidentes no prueban que los modelos hayan desarrollado una intención independiente de atacar empresas. En todos los casos conocidos, los sistemas perseguían objetivos definidos por los ejercicios. Sin embargo, también muestran que un agente no necesita comprender plenamente el contexto ni formular una meta propia para producir consecuencias reales: basta con que reciba herramientas ofensivas, una tarea persistente y un límite técnico defectuoso.
Las pruebas de ciberseguridad buscan descubrir las capacidades de los modelos antes de que puedan emplearse de forma maliciosa. Pero al reducir salvaguardas y construir escenarios cada vez más realistas, los laboratorios están creando condiciones cercanas a una operación real. Si el aislamiento, la supervisión en tiempo real o las reglas de detención fallan, la evaluación deja de medir un riesgo hipotético y empieza a materializarlo sobre terceros que nunca autorizaron participar.
El caso de Meta amplía por tanto una secuencia que ya no puede explicarse como una anomalía única. La capacidad ofensiva de los modelos avanza al mismo tiempo que las empresas y sus evaluadores intentan construir infraestructura capaz de contenerlos. Por ahora, los incidentes indican que esa infraestructura, y no únicamente el comportamiento de los modelos, se ha convertido en uno de los puntos más débiles de la seguridad de la inteligencia artificial.
