La IA ya hackea: OpenAI revela cómo uno de sus modelos vulneró sistemas reales Merca2.0
13:34
OpenAI dio a conocer un incidente de ciberseguridad que marca un precedente en el desarrollo de la inteligencia artificial.
La compañía informó que, durante una evaluación interna para medir las capacidades ofensivas de sus modelos, una combinación de sistemas de IA, entre ellos GPT-5.6 Sol y otro modelo aún no presentado públicamente, logró identificar vulnerabilidades, obtener acceso a internet y comprometer parte de la infraestructura de Hugging Face.
De acuerdo con la empresa, el hecho ocurrió en un entorno controlado de investigación, donde las restricciones habituales de seguridad fueron reducidas para medir el máximo potencial de los modelos en tareas relacionadas con ciberseguridad.
OpenAI aseguró que el incidente fue detectado y contenido rápidamente en colaboración con Hugging Face, aunque reconoció que demuestra el nivel de sofisticación que están alcanzando los modelos de inteligencia artificial.
¿Qué ocurrió entre OpenAI y Hugging Face?
La empresa explicó que el incidente sucedió durante una prueba interna llamada ExploitGym, diseñada para evaluar qué tan lejos pueden llegar los modelos de IA al intentar resolver problemas complejos de explotación de vulnerabilidades.
Según OpenAI, los modelos analizaron diferentes sistemas hasta encontrar una vulnerabilidad de tipo “zero-day”, es decir, una falla que aún no era conocida por el fabricante del software.
A partir de ese hallazgo, la inteligencia artificial logró escalar privilegios dentro del entorno de investigación, conseguir acceso a internet y posteriormente buscar información alojada en la infraestructura de Hugging Face que pudiera ayudarle a resolver la evaluación.
La compañía señaló que el objetivo de la IA era únicamente completar la prueba, aunque para lograrlo encadenó múltiples técnicas de ataque propias de un ciberataque avanzado.
La IA encontró nuevas formas de vulnerar sistemas
Uno de los aspectos que más llamó la atención es que los modelos fueron capaces de descubrir rutas de ataque inéditas sin tener acceso al código fuente de los sistemas involucrados.
OpenAI explicó que la IA utilizó credenciales comprometidas, combinó distintas vulnerabilidades y encontró una ruta de ejecución remota de código que le permitió acceder a información protegida dentro de la infraestructura de Hugging Face.
El comportamiento fue detectado por los equipos de seguridad de ambas compañías, que iniciaron de inmediato las labores de contención e investigación.
Hasta ahora, OpenAI no ha informado que datos de usuarios hayan sido comprometidos ni que existiera un impacto para clientes de Hugging Face.
OpenAI reforzará la seguridad de sus pruebas
Tras el incidente, OpenAI anunció que implementará controles mucho más estrictos en sus entornos de evaluación.
Entre las medidas destacan un mayor monitoreo durante las pruebas, configuraciones de infraestructura más robustas, nuevos controles de acceso y mejoras en los mecanismos de alineación de los modelos para evitar que puedan ejecutar este tipo de acciones durante futuras evaluaciones.
Asimismo, la empresa indicó que ya notificó de forma responsable al proveedor del software afectado para que la vulnerabilidad descubierta pueda ser corregida.
OpenAI advierte sobre el futuro de la ciberseguridad con IA
Para OpenAI, este caso demuestra que las capacidades de la inteligencia artificial para realizar operaciones cibernéticas complejas están avanzando con rapidez y ya pueden trasladarse de escenarios teóricos a sistemas reales.
La compañía considera que estas herramientas también pueden convertirse en aliados para los equipos de seguridad, ya que podrían identificar vulnerabilidades antes que los ciberdelincuentes y acelerar la detección y corrección de fallas.
Por su parte, Hugging Face calificó el incidente como un ejemplo de que la seguridad de la inteligencia artificial debe desarrollarse mediante colaboración entre empresas, investigadores y la comunidad tecnológica.
