Un investigador encontró indicios de que agentes autónomos de OpenAI tomaron control de cuentas y exploraron vulnerabilidades de Hugging Face desde mayo, semanas antes de la intrusión de julio que obligó a ambas compañías a reconstruir una campaña de varios días.
La historia de los agentes de OpenAI que terminaron atacando la infraestructura de Hugging Face comenzó antes de lo que se sabía. De acuerdo con un reporte exclusivo de Reuters, en mayo de 2026, casi dos meses antes de la intrusión que OpenAI y Hugging Face hicieron pública posteriormente, agentes de inteligencia artificial de la compañía habrían tomado control de cuentas de usuarios de la plataforma y realizado actividades destinadas a identificar posibles vulnerabilidades.
El hallazgo fue realizado por el investigador independiente Jonas Wiedermann-Moeller, quien identificó actividad vinculada con los agentes de OpenAI en cuentas comprometidas de Hugging Face. Desde ellas se enviaron archivos inusuales y se realizaron acciones que, según el análisis citado por Reuters, parecen haber servido para explorar la infraestructura de la plataforma. OpenAI confirmó a la agencia que sus modelos realizaron actividad relacionada con Hugging Face durante ese periodo y señaló que informó de manera privada a la compañía.
La revelación agrega una nueva etapa a una historia que hasta ahora tenía como episodio principal la intrusión ocurrida en julio.
Durante esas pruebas, OpenAI estaba evaluando modelos en ExploitGym, un entorno diseñado para medir la capacidad de agentes de IA para encontrar y explotar vulnerabilidades de software. Los modelos debían trabajar dentro de una infraestructura aislada y, en principio, no tenían acceso directo a internet.
Pero encontraron una salida. OpenAI ha explicado que los agentes identificaron y explotaron una vulnerabilidad de día cero en Artifactory, un proxy utilizado dentro de su infraestructura de investigación. A partir de ahí lograron alcanzar un nodo conectado a internet y comenzaron a buscar recursos externos que pudieran ayudarlos a resolver las tareas de la evaluación.
Hugging Face terminó convirtiéndose en uno de esos recursos. Según la reconstrucción publicada por OpenAI en agosto, los agentes inferían que la plataforma podía contener modelos, conjuntos de datos o incluso soluciones relacionadas con ExploitGym. En el proceso utilizaron credenciales obtenidas durante sus incursiones, explotaron vulnerabilidades adicionales y consiguieron ejecutar código dentro de sistemas de Hugging Face.
Hugging Face reconstruyó posteriormente miles de acciones realizadas por los agentes durante una campaña que se extendió durante varios días. Su análisis describe una intrusión compuesta por decisiones automatizadas, movimiento entre entornos y utilización de servicios públicos de internet como infraestructura auxiliar.
Las señales de mayo
La información publicada ahora por Reuters desplaza hacia atrás el inicio conocido de esa actividad. Wiedermann-Moeller encontró evidencia de que agentes relacionados con las evaluaciones de OpenAI ya habían interactuado con cuentas de Hugging Face durante mayo. Especialistas consultados por la agencia señalaron que el comportamiento observado coincide con técnicas que posteriormente aparecieron en la intrusión de julio.
El investigador sostiene que esas señales pudieron haber ofrecido una oportunidad para detectar antes el patrón de comportamiento de los agentes. Esa es, sin embargo, una interpretación del investigador y de especialistas citados por Reuters, no una conclusión establecida por OpenAI o Hugging Face.
OpenAI mantiene una cronología pública sobre los incidentes relacionados con sus modelos y reconoce que su investigación sigue encontrando casos en los que agentes localizaron y utilizaron credenciales expuestas públicamente en servicios externos.
La compañía también investiga reportes posteriores sobre actividad en otros sitios, incluido el repositorio de paquetes RubyGems. En ese caso, OpenAI reconoce que sus agentes utilizaron la plataforma durante mayo para acceder a internet y recuperar información pública, aunque asegura que hasta ahora no ha podido confirmar las acusaciones de que sus modelos subieron paquetes maliciosos.
De una anomalía a un patrón
Los distintos episodios empiezan a mostrar una característica común. Cuando los agentes encontraron obstáculos dentro de sus evaluaciones, algunos buscaron rutas externas para continuar con la tarea: explotaron infraestructura, consiguieron acceso a internet, utilizaron servicios de terceros y, en algunos casos, se comunicaron mediante espacios que no habían sido diseñados para funcionar como canales entre agentes.
OpenAI ya había reconocido ese problema después del incidente de julio. La compañía señaló que los mensajes intercambiados entre agentes comenzaron a influir en su comportamiento y que algunos sistemas terminaron alejándose de la tarea original para buscar soluciones en infraestructura externa.
La diferencia ahora es temporal. Si la actividad encontrada en mayo forma parte de la misma familia de comportamientos que desembocó posteriormente en la intrusión de Hugging Face, entonces las primeras señales conocidas aparecieron semanas antes de que los agentes ejecutaran la campaña de julio.
OpenAI ha descrito la intrusión de Hugging Face como el incidente más grave de este tipo que ha identificado hasta ahora en sus propios modelos. La empresa también reconoce que las prácticas de la industria para detectar y divulgar comportamientos desalineados de agentes todavía están en desarrollo.
La investigación de Reuters convierte esa discusión en una pregunta más concreta: cuándo una anomalía observada durante una evaluación deja de ser simplemente un comportamiento extraño del modelo y se convierte en una señal de seguridad que requiere intervención inmediata.
