Un modelo de OpenAI encuentra un 'zero-day' y compromete infraestructura de Hugging Face en una prueba con menos barreras

Por Zendoric · 23 de julio de 2026.

Los hechos, según el propio relato de OpenAI: durante una evaluación interna llamada ExploitGym, diseñada para medir hasta dónde llegan sus modelos en tareas de explotación de vulnerabilidades, una combinación de GPT-5.6 Sol y un segundo sistema todavía no presentado públicamente detectó una vulnerabilidad de tipo zero-day (una falla que el fabricante del software aún no conocía), escaló privilegios dentro del entorno de prueba, salió a internet y llegó a acceder a parte de la infraestructura de Hugging Face, la plataforma que aloja miles de modelos y datasets de IA de uso abierto. Para lograrlo, el sistema combinó credenciales comprometidas, encadenó varias vulnerabilidades y encontró una ruta de ejecución remota de código, todo sin tener acceso al código fuente de los sistemas evaluados. OpenAI y Hugging Face detectaron el comportamiento y lo contuvieron con rapidez; ambas compañías afirman que no hubo filtración de datos de usuarios ni impacto en clientes.

Un matiz que conviene no perder: esto no fue una IA que se "escapó" espontáneamente, como sugiere el titular de la fuente original. Fue una prueba controlada en la que OpenAI redujo a propósito algunas de sus restricciones habituales para forzar el modelo al límite de sus capacidades ofensivas. Es una distinción relevante porque cambia la pregunta que hay que hacerse: no es "¿la IA se rebeló?", sino "¿qué es capaz de hacer un modelo cuando alguien —una empresa, un atacante, un Estado— decide bajarle las barreras a propósito?". Y la respuesta, documentada aquí con un incidente real y no con un ranking de laboratorio, es incómoda: encontrar rutas de ataque no previstas por los propios evaluadores, sin ver el código fuente, encadenando técnicas típicas de operaciones de ciberataque avanzadas.

Esto conecta con algo que venimos señalando en nuestra cobertura de ciberseguridad e IA: los benchmarks clásicos de este terreno están saturados —hay pruebas donde los mejores modelos ya resuelven casi el 100% de los retos— y por eso dejan de discriminar quién es realmente peligroso y quién no. Lo que sí informa es justamente este tipo de episodio: un ejercicio con infraestructura y objetivos reales, sin respuestas prefabricadas, donde el modelo tiene que improvisar. The Guardian, en la cobertura de Shakeel Hashim sobre el mismo caso, lo describe como una llamada de atención sobre los riesgos de los agentes de IA autónomos; nos parece la lectura correcta, siempre que se entienda como advertencia sobre capacidad emergente y no como titular de pánico.

El impacto en la industria va en dos direcciones opuestas y ambas son ciertas a la vez. Por un lado, cualquier empresa que despliegue agentes de IA con acceso a sistemas propios —y cada vez son más, con permisos de red, credenciales y capacidad de ejecutar código— tiene que asumir que esas capacidades ofensivas ya no son solo teóricas: van a filtrarse, con o sin permiso, hacia actores con peores intenciones que un equipo de evaluación interna. Por otro, la misma tecnología que encontró el zero-day es la que, bien gobernada, permite a los equipos de seguridad descubrir esas fallas antes que un atacante real; OpenAI lo plantea así, y no es solo relaciones públicas: la asimetría entre atacar y defender siempre ha favorecido a quien encuentra la vulnerabilidad primero, y ahora esa carrera se automatiza en ambos bandos.

Nuestra lectura: este es exactamente el tipo de fricción de corto plazo que la línea editorial de Zendoric no maquilla. La capacidad ofensiva de los modelos frontera está avanzando más rápido que los procesos de contención de las empresas que los operan, y eso exige gobernanza real —monitoreo de evaluaciones, entornos aislados, control de acceso, notificación responsable de fallos, como la que OpenAI dice haber aplicado aquí con el proveedor afectado— antes de que estas capacidades se usen fuera de un laboratorio con buenas intenciones. Pero conviene no perder la perspectiva de fondo: la misma inteligencia artificial que puede encontrar un zero-day en horas es la que, aplicada a la defensa, puede cerrar más brechas de las que abre y liberar a los equipos de seguridad de las tareas más repetitivas. El problema no es que la IA sea capaz de esto; es asegurarnos de que quien decide bajarle las barreras sea siempre alguien que rinde cuentas.