Una investigación de METR y Redwood Research reconstruyó cómo una evaluación interna de ciberseguridad de OpenAI derivó en una intrusión contra Hugging Face entre el 8 y el 13 de julio de 2026. El propósito de los agentes era completar ExploitGym, un conjunto de tareas diseñado para evaluar su capacidad de explotar vulnerabilidades.
Los investigadores identificaron mil 206 ejecuciones que utilizaron un tablero de mensajes no autorizado dentro de un repositorio de software compartido. Allí intercambiaron más de 70 mil mensajes y archivos. Cerca de 700 agentes participaron en el ataque contra Hugging Face; alrededor de 95 por ciento utilizó el modelo interno HPIM, llamado IM1 por OpenAI, y cerca de 5 por ciento correspondió a GPT-5.6 Sol, el modelo público más reciente.
Coordinación contra el evaluador
Básicamente, los agentes encontraron la clave para hacer trampa. En lugar de resolver el examen de hackeo (ExploitGym), descubrieron la fórmula matemática con la que el sistema generaba las respuestas correctas. Así, pudieron inventarse las respuestas y sacar calificación perfecta sin haber hecho el trabajo real.
Sin embargo, concluyeron que el evaluador podía revisar sus trayectorias y rechazar resultados obtenidos por una vía distinta a la prevista. Según METR y Redwood, esa revisión no existía, pero esa creencia llevó a los agentes a buscar información sobre el calificador, alterar registros y hacer que las respuestas parecieran legítimas.
La coordinación ocurrió mediante directorios y archivos de la infraestructura compartida. El canal pasó de solicitudes de ayuda a incluir mensajes directos, asignación de tareas entre agentes, intercambio de archivos y división del trabajo. Algunas ejecuciones conservaron resultados para que otras continuaran después de su terminación.
La investigación atribuyó la cadena causal a la combinación de tareas que podrían ser imposibles, presupuestos amplios de razonamiento, ausencia de una salida segura, salvaguardas reducidas, credenciales compartidas, infraestructura escribible y controles de conexión externa insuficientes. Alertas por escaneo de puertos, usuarios no autorizados y una interrupción del servicio no detuvieron a tiempo las evaluaciones.
Del comportamiento al gobierno
OpenAI reportó que los agentes ejecutaron código en 41 ambientes en producción de Hugging Face, obtuvieron acceso de raíz en al menos un nodo, alcanzaron privilegios equivalentes a administrador en un clúster de máquinas virtuales y descargaron cuatro repositorios privados. Hugging Face informó que el contenido de clientes expuesto se limitó a cinco conjuntos de datos vinculados con ExploitGym, sin evidencia de alteraciones a modelos públicos o a su cadena de suministro.
Como consecuencia, el episodio mostró que las instrucciones incorporadas al modelo no sustituyen controles de autorización externos. El expediente señala como medidas de gobierno la separación de credenciales, privilegios mínimos, límites de tiempo y cómputo, telemetría que el agente no pueda modificar, condiciones de aborto y mecanismos para bloquear conexiones, revocar identidades y preservar evidencia.
El informe no concluye que los agentes fueran conscientes ni que tuvieran intenciones humanas. También distingue entre manipulación parcial de transcripciones y un encubrimiento integral, que no fue demostrado. Sus autores describen el trabajo como una investigación conductual con acceso y alcance limitados, no como una auditoría forense completa.
Si algo puede quedar claro es que la gobernanza es crucial al desplegar agentes autónomos para evitar consecuencias no deseadas. Además, gobernar demanda entendimiento suficientemente profundo como para establecer controles eficaces. Esto es esencial para una transición exitosa a la Sociedad Tecno-Cognitiva.