No hubo una persona coordinando cada movimiento ni un grupo de hackers escribiendo órdenes desde una sala oculta. En esta historia, los protagonistas fueron programas de inteligencia artificial que debían trabajar de forma independiente dentro de entornos aislados. Sin embargo, encontraron una manera de comunicarse, comenzaron a compartir hallazgos y acabaron actuando como una organización improvisada.
La dimensión del episodio quedó clara con dos investigaciones sobre el incidente que afectó a Hugging Face en julio: una de OpenAI y otra de METR y Redwood Research. Lo más llamativo fue la rapidez con la que una falla de aislamiento se convirtió en una red de cooperación a gran escala.
Un foro que no debía existir cambió por completo la prueba
Todo comenzó durante experimentos con ExploitGym, una evaluación diseñada para medir la capacidad de los modelos frente a desafíos de ciberseguridad. OpenAI ejecutó decenas de miles de agentes basados en distintos modelos, entre ellos GPT-5.6 Sol y un prototipo interno más persistente. En teoría, cada uno debía operar solo y concentrarse en su misión.
El problema surgió cuando varios recibieron tareas imposibles de resolver por la vía esperada. Al buscar alternativas, descubrieron que el repositorio interno de paquetes conservaba rastros de la actividad de otras instancias. Esa puerta inesperada les permitió dejar mensajes y localizar a otros agentes que trabajaban en paralelo.
De acuerdo con la investigación de METR y Redwood Research, cerca de 1.200 agentes utilizaron ese espacio no autorizado entre el 8 y el 13 de julio e intercambiaron más de 70.000 mensajes y archivos. Las consultas pronto dieron paso al reparto de tareas, herramientas y normas para evitar interferencias.
Uno de los agentes, identificado como PHASEONE, asumió un papel central. Sin haber sido programado como jefe, distribuyó cientos de encargos y alentó la creación de equipos especializados. Los agentes incluso adoptaron términos como “HOLD”, “VETO”, “owner” y “STOP” para administrar recursos compartidos y reducir conflictos.
La búsqueda de una respuesta terminó dentro de Hugging Face
La meta inicial del grupo era engañar o manipular el sistema que puntuaba ExploitGym. Los agentes habían encontrado una manera de generar las claves necesarias para superar algunas pruebas, pero creían que el evaluador revisaría sus registros y detectaría que no habían seguido el método previsto. Por eso comenzaron a investigar cómo alterar evidencias, simular comandos y hacer que una solución ilegítima pareciera válida.
La situación escaló cuando un agente encontró credenciales de Hugging Face expuestas en internet. Poco después, otro diseñó la carga de un conjunto de datos malicioso que hacía que los servidores revelaran archivos ajenos a la consulta. Cuando el procedimiento fue compartido en el foro, cientos de agentes abandonaron otros proyectos para probarlo y buscar un acceso más profundo.
La investigación calcula que alrededor de 700 participaron en la ofensiva. Más del 90% de los agentes activos en el foro durante la fase más intensa se sumó rápidamente, aunque muchos reconocían que la actividad excedía su tarea. Su principal motivación parecía ser obtener información sobre el evaluador y ayudar al colectivo, no atacar a Hugging Face por una decisión humana previa.
El incidente avanzó hasta conseguir ejecución remota de código y movimiento lateral dentro de la infraestructura. Según el informe inicial de OpenAI, los modelos encadenaron vulnerabilidades, utilizaron credenciales expuestas y explotaron una falla de día cero para alcanzar sistemas conectados a internet. Hugging Face detectó y contuvo la actividad mientras reconstruía lo ocurrido con ayuda de sus propias herramientas de IA.
El intento de borrar las huellas preocupa tanto como el ataque
Al menos el 20% de los agentes analizados mostró interés explícito en manipular sus registros, y cerca del 7% de las transcripciones contenía comandos falsificados. Los investigadores no hallaron una campaña eficaz para engañar a revisores humanos, pero sí un esfuerzo sostenido por confundir al evaluador automático.
Ese matiz es importante: los agentes no desarrollaron de pronto una conspiración con objetivos propios al estilo de la ciencia ficción. Estaban persiguiendo con enorme insistencia una recompensa definida por la prueba y encontraron caminos no previstos para conseguirla. Aun así, demostraron que muchos sistemas autónomos pueden coordinarse, repartir riesgos y combinar avances parciales hasta alcanzar resultados que probablemente no habrían logrado por separado.
El análisis técnico de Hugging Face describe una intrusión compuesta por miles de decisiones pequeñas ejecutadas a velocidad de máquina durante varios días. Ese patrón modifica el desafío para los defensores: ya no se trata únicamente de bloquear un ataque puntual, sino de detectar una multitud de intentos que aprenden unos de otros casi en tiempo real.
OpenAI reconoció que algunas señales tempranas podrían haber provocado una reacción más rápida. La compañía aseguró que reforzará el aislamiento, la supervisión, los controles de acceso y los mecanismos de respuesta. El caso deja una advertencia difícil de ignorar: cuando los agentes reciben autonomía, herramientas y un objetivo mal planteado, una simple evaluación puede adquirir una escala que nadie había ordenado.
