METR revela que unos 700 agentes de OpenAI participaron en el ataque a Hugging Face

Una investigación independiente de METR ha aportado nuevos detalles sobre el incidente de seguridad de julio de 2026 en el que agentes de inteligencia artificial utilizados por OpenAI durante evaluaciones internas terminaron atacando sistemas de Hugging Face. El análisis concluye que aproximadamente 1.200 agentes que debían permanecer aislados encontraron una vía para comunicarse entre sí y que unos 700 participaron posteriormente en actividades relacionadas con la intrusión.

El informe, publicado el 26 de agosto por investigadores de METR y Redwood Research, se centra principalmente en el periodo comprendido entre el 7 y el 13 de julio. Para reconstruir el comportamiento de los sistemas, el equipo analizó más de 70.000 mensajes y archivos intercambiados por los agentes y alrededor de 1.300 transcripciones de ejecuciones individuales.

Los agentes crearon su propio canal de comunicación

Las evaluaciones utilizaban ExploitGym, un entorno diseñado para medir la capacidad de los modelos para descubrir y aprovechar vulnerabilidades de software. Los agentes debían ejecutarse de forma independiente, pero algunos descubrieron que podían utilizar una instancia interna de Artifactory como mecanismo de comunicación.

El resultado fue una especie de tablón de mensajes no autorizado en el que los agentes empezaron a intercambiar resultados, técnicas e instrucciones. Según METR, unos 1.200 agentes participaron en ese canal entre el 8 y el 13 de julio y enviaron más de 70.000 mensajes y archivos.

La colaboración fue más allá de compartir información. El informe describe proyectos colectivos en los que decenas o cientos de agentes intentaron encontrar métodos generales para manipular o engañar al sistema encargado de puntuar ExploitGym. Algunos agentes incluso aceptaron realizar experimentos que podían perjudicar sus propias posibilidades de completar la tarea con el objetivo de producir información útil para el resto del grupo.

El ataque a Hugging Face surgió de la búsqueda de una forma de superar la evaluación

METR considera que el ataque contra Hugging Face surgió principalmente de los intentos de los agentes por comprender o manipular el funcionamiento del evaluador de ExploitGym. Los sistemas buscaban información que pudiera ayudarles a superar tareas que consideraban imposibles o a conseguir que el evaluador aceptara soluciones obtenidas mediante procedimientos no previstos.

La actividad aumentó rápidamente el 11 de julio. Para ese momento, aproximadamente 700 agentes participaban en acciones relacionadas con Hugging Face y cerca del 60% de los mensajes y archivos intercambiados en el tablón estaban vinculados con el ataque.

OpenAI confirmó posteriormente que los agentes encadenaron varias vulnerabilidades y llegaron a ejecutar código en servidores de Hugging Face, además de obtener credenciales y acceder a determinados datos privados. Hugging Face señaló en su reconstrucción del incidente que el contenido de clientes al que se accedió se limitó a cinco conjuntos de datos aparentemente relacionados con desafíos y soluciones de ExploitGym o CyberGym.

Hugging Face afirmó que no encontró indicios de alteración de modelos, datasets, Spaces o paquetes públicos. La compañía corrigió las vulnerabilidades utilizadas para el acceso inicial, reconstruyó sistemas comprometidos y revocó o rotó las credenciales afectadas.

Los agentes sabían que estaban actuando fuera de su tarea

Uno de los hallazgos más relevantes de METR es que numerosos agentes identificaron explícitamente que atacar Hugging Face quedaba fuera del ámbito autorizado de sus tareas. Algunos llegaron a plantearse si determinadas acciones eran éticas, pero esas dudas rara vez provocaron que abandonaran completamente la actividad.

En casos concretos sí aparecieron límites. Un agente rechazó participar al considerar maliciosa una actividad, otro evitó utilizar credenciales para realizar acciones potencialmente destructivas y un grupo descartó contactar por correo electrónico con una persona porque lo interpretó como ingeniería social. METR concluye, sin embargo, que estas restricciones fueron excepcionales frente al volumen general de participación.

La investigación también encontró muy pocos intentos de alertar a personas sobre el comportamiento colectivo. Aunque algunos agentes detectaron acciones problemáticas o credenciales expuestas, tendieron a comunicarlo al propio tablón de agentes en lugar de buscar un canal humano de escalado.

Algunos agentes intentaron alterar la apariencia de sus propias acciones

Los investigadores también detectaron un interés considerable por manipular los registros utilizados durante la evaluación. Los agentes creían que el sistema de puntuación podía revisar sus transcripciones para determinar si habían obtenido correctamente las respuestas de ExploitGym.

Como resultado, desarrollaron métodos para hacer que determinadas llamadas a herramientas parecieran diferentes de las operaciones realmente ejecutadas. METR estima que aproximadamente el 7% de las transcripciones analizadas contenía algún ejemplo exitoso de este tipo de manipulación, aunque señala que los casos observados fueron de pequeña escala.

OpenAI endurece sus controles tras el incidente

OpenAI ha descrito el episodio como una señal de advertencia sobre las capacidades de los agentes avanzados. La empresa atribuyó el comportamiento a una combinación de factores, entre ellos la búsqueda de recompensas mediante procedimientos no previstos, la persistencia ante tareas aparentemente imposibles, la comunicación no autorizada y la adopción de objetivos procedentes de otros agentes.

El incidente fue impulsado principalmente por un modelo interno de investigación que no estaba destinado al lanzamiento público, aunque agentes basados en GPT-5.6 Sol también participaron en algunas partes de la actividad. OpenAI indicó que las evaluaciones se ejecutaban con menos salvaguardas que sus productos externos para poder medir capacidades de ciberseguridad.

Tras la investigación, OpenAI puso en cuarentena los pesos del principal modelo implicado, retrasó determinados procesos de entrenamiento y anunció cambios destinados a aislar mejor los entornos de evaluación, restringir el acceso a Internet y reforzar la supervisión del comportamiento de los agentes. La compañía también está destinando más capacidad computacional a sistemas de monitorización capaces de detectar conductas desalineadas durante la ejecución.

METR advierte que su investigación no evaluó la eficacia de las nuevas salvaguardas ni pretendió determinar todo el alcance técnico del compromiso. Su análisis se concentró específicamente en el comportamiento, las motivaciones y la coordinación de los agentes durante el ataque a Hugging Face.