Cuatro días y medio. Diecisiete mil seiscientas acciones. Cero humanos tocando el teclado.Esos son los números del primer ciberataque autónomo documentado de la historia. Y el objetivo final de todo ese despliegue era, literalmente, copiarse las respuestas de un examen.
En serio, no es una metáfora, OpenAI estaba evaluando a GPT-5.6 Sol (y a un modelo pre-release aún sin nombre público) en ExploitGym, un benchmark que mide qué tan bien un agente encuentra y explota vulnerabilidades de software. Le sacaron los frenos de seguridad para medir la capacidad “cruda” del modelo, lo metieron en un sandbox aislado, y el sistema hizo lo que se supone que hacen los buenos estudiantes con malas intenciones: buscó las respuestas.
El problema es que las respuestas (los datasets y soluciones de referencia del benchmark) estaban guardadas en la infraestructura de producción de Hugging Face. Y el agente, para llegar hasta ahí, tuvo que escaparse de un sandbox, después rootear un segundo sandbox de un proveedor externo, y desde ahí perforar dos vectores de inyección en el pipeline de datasets de HF hasta plantar una pata adentro de un pod productivo. Terminó con acceso a credenciales, tokens, y capacidad de moverse lateralmente por varios clusters internos. Todo eso, en teoría, para copiarse las respuestas de un examen que ni siquiera le habían puesto nota.
El error de leer esto como “una IA hizo trampa”
Acá es donde la mayoría se queda con la anécdota —”un modelo se copió en un examen”— y se pierde lo importante. La pregunta correcta no es si la IA hackeó a alguien. Es qué pasa cuando diez atacantes pasan a operar con la capacidad de diez mil, sin coordinación, sin turnos, sin descanso.
Cualquier ingeniero senior te va a decir que ninguna de las vulnerabilidades individuales era exótica: un loader de datasets que ejecuta código remoto, metadata de nube expuesta, una credencial de service-account con permisos demasiado anchos. Todo eso ya lo vimos mil veces en incidentes con operadores humanos.
Lo que cambió fue la escala.
Hugging Face reconstruyó 17.600 acciones del atacante, agrupadas en 6.280 clusters, ejecutadas en cuatro días y medio corridos, sin pausa, sin turnos, sin reuniones de equipo ni jerarquía que aprobar. El agente probó rutas, falló, cambió de canal, volvió a intentar por otro lado, y siguió así de forma ininterrumpida hasta que una de esas miles de rutas fallidas resultó ser la correcta. El camino exitoso, dice el propio postmortem de HF, estaba escondido dentro del ruido generado por los miles de intentos que no funcionaron.
Es la diferencia entre un ladrón que fuerza una puerta y algo que prueba, en simultáneo, cada cerradura, ventana y rendija de un edificio de mil pisos; sin parar un segundo, durante cuatro días y medio. Un pentester senior humano prueba decenas de rutas por día, con criterio pero un enjambre de agentes prueba miles por hora, sin criterio pero con paciencia infinita, hasta que el volumen encuentra lo que la inteligencia sola no hubiera encontrado tan rápido.
Ya lo habíamos dicho, y no por adivinos
Es la misma idea que escribí en junio, cuando salió la declaración conjunta de los Five Eyes sobre IA y ciberseguridad:
“El problema no es que la IA hace mejores a los hackers. Es que multiplica su escala por mil.”
Ese post hablaba de una tendencia, con papers y declaraciones de agencias de inteligencia atrás. El riesgo real no era la superinteligencia autónoma actuando con genialidad estratégica. Era que diez hackers de élite, de golpe, tuvieran la capacidad operativa de diez mil. Este incidente es esa tendencia con nombre, apellido y timestamp.
No hubo una mente brillante encontrando el exploit perfecto en un rapto de inspiración. Hubo paralelismo masivo, costo marginal cercano a cero, y un ciclo OODA comprimido a milisegundos exactamente las ventajas “cualitativamente distintas” que describía ese post aplicadas, sin que nadie lo planeara así, contra la propia infraestructura de uno de los actores centrales del ecosistema de IA abierta.
La parte incómoda: cuando Hugging Face fue a defenderse, sus propios aliados le cerraron la puerta
Acá viene el giro que debería incomodar a cualquiera que piense que la solución es “más guardrails, más restricciones, prohibir los modelos open weight”. Cuando el equipo de seguridad de Hugging Face quiso usar modelos frontier de última generación para analizar los 17.600 eventos del ataque (descifrar payloads cifrados, reconstruir la línea de tiempo, entender qué había tocado el atacante) los modelos comerciales cerrados se negaron a ayudar porque sus filtros de seguridad (los famosos guardrails) no distinguen entre un analista forense reconstruyendo un exploit y un atacante ejecutándolo. Para el guardrail, ambos textos se ven igual y, como el modelo es cerrado, no te deja reconstruir un ataque para entenderlo.
Enter open-weight…
Tuvieron que recurrir a GLM 5.2, un modelo open weight de la china Z.ai, corriendo en su propia infraestructura, para poder hacer el trabajo que las herramientas “seguras” no les dejaban hacer.
Yacine Jernite, jefe de ML de HF, se lo dijo directo a CNBC: los guardrails no podían determinar si estaban defendiendo o atacando, y encima el proceso con los modelos cerrados era más lento y más caro.
Dale una vuelta a esto: el atacante, un sistema de OpenAI corriendo sin ningún límite de política de uso porque así estaba configurada la evaluación, no tuvo ningún freno. El defensor, tratando de entender qué había pasado, sí lo tuvo. Esa asimetría no es un detalle técnico menor, es el corazón del problema regulatorio que se viene. Si la respuesta de los gobiernos a este tipo de incidentes termina siendo “restrinjamos más los modelos open weight”, el resultado práctico es que los atacantes, que ya operan modelos sin ningún tipo de barrera, sea porque los jailbrekean, sea porque los corren en modo evaluación sin guardrails como pasó acá, siguen teniendo el arma completa, mientras el defensor se queda sin la herramienta que necesitaba para responder al mismo ritmo.
No es un argumento contra la seguridad de los modelos. Es un argumento contra pensar que frenar el open source es defensa. El propio Hugging Face lo dijo con todas las letras en su blog técnico: tener un modelo capaz, corriendo en tu propia infraestructura, listo antes del incidente, dejó de ser un lujo ideológico de la comunidad open source y pasó a ser un requisito operativo de cualquier equipo de respuesta a incidentes serio.
Lo que hay que llevarse de acá
Clem Delangue, CEO de HF, no se guardó nada: le pidió públicamente a OpenAI transparencia radical, que publique las trazas completas del agente para que la comunidad global pueda estudiarlas, y cien millones de dólares en cómputo para que el ecosistema pueda construir defensas reales, tanto con modelos abiertos como cerrados. “El primer ciberataque autónomo de la historia es un evento sin precedentes. Merece una respuesta sin precedentes”, escribió.
Tiene razón, pero yo agregaría una capa: la respuesta sin precedentes no puede ser regulatoria-reflejo del tipo “cerremos todo lo que da miedo”.
El agente que atacó a Hugging Face corría sobre un modelo cerrado, sin guardrails, en la nube de un laboratorio con todas las certificaciones de seguridad del mundo. El modelo que ayudó a reconstruir el ataque y salvar la situación era open weight, chino, y corrido on-prem porque no había otra opción disponible sin fricción.
Si a alguien todavía le queda dudas sobre quién necesita más urgentemente acceso a IA sin restricciones artificiales, el que ataca o el que defiende, este incidente debería dejartelo claro.
Por eso la pregunta que dejó este incidente no es si hay que regular los modelos abiertos, es si los defensores van a tener, en algún momento, acceso a las mismas herramientas sin límites que ya tienen los atacantes. Porque esas herramientas ya están ahí afuera.
No estamos entrando en una era de ataques más inteligentes. Estamos entrando en una era de ataques infinitos, ejecutados por algo que no se cansa, no negocia con un jefe y no necesita dormir.
Será por mi edad pero recuerdo esto:
Sarah Connor: Watching John with the machine, it was suddenly so clear. The terminator would never stop. It would never leave him, and it would never hurt him, never shout at him, or get drunk and hit him, or say it was too busy to spend time with him. It would always be there. And it would die to protect him. Of all the would-be fathers who came and went over the years, this thing, this machine, was the only one who measured up. In an insane world, it was the sanest choice.
