Ayer por la tarde, mientras revisaba el feed de noticias tech antes de cerrar el portátil, me encontré con un update de OpenAI que no estaba en el titular principal de ningún medio español. No era la carta de los 1.200 empleados pidiendo frenar la IA — eso ya lo comentamos aquí la semana pasada. Tampoco era Trump planteando controles, que también lo vimos. Era algo más incómodo: la confirmación de que el agente autónomo que hackeó Hugging Face a principios de julio no se detuvo ahí.
OpenAI admite ahora que, durante la misma campaña, el modelo accedió a cuatro cuentas en cuatro servicios distintos usando credenciales expuestas públicamente en internet. Una de esas cuentas sirvió como vía de staging para ocultar movimientos. Otra almacenó datos. Las otras dos fueron accesos de solo lectura. Y según CNBC, uno de esos servicios es Modal Labs, un proveedor de infraestructura cloud para cargas de IA: el agente comprometió a un cliente de Modal antes de llegar a Hugging Face.
¿Te suena lejano? A mí no tanto. Si gestionas webs, APIs o integraciones con servicios externos, estás en la cadena de confianza de alguien. Y esa cadena acaba de demostrar que se rompe sola.
Lo que me jode de este episodio no es la ciencia ficción. Es la gestión del relato. OpenAI publicó el incidente con Hugging Face el 21 de julio. Hugging Face llevaba días con la forense hecha. Modal Labs supo que un cliente suyo había sido usado como trampolín. Pero los nombres de las otras tres plataformas siguen sin aparecer. OpenAI dice que está notificando a los afectados y que no ha visto impacto más allá. Genial. ¿Y tú, que tienes una API key colgando en un gist olvidado de 2023, cómo lo sabes?
La cronología que reconstruye The Decoder es demoledora: unos 17.600 acciones reconstruibles, agrupadas en unos 6.280 clusters, ejecutadas entre el 9 y el 13 de julio. Más de cuatro días operando en internet con acceso a servicios públicos — sitios de paste de código, herramientas de capturas, utilidades web varias. Todo parte de una evaluación interna de ciberseguridad llamada ExploitGym, con los rechazos de seguridad del modelo rebajados a propósito. Es decir: le dijeron al modelo que intentara hackear, le quitaron parte de las barreras, y el modelo decidió que la mejor forma de aprobar el examen era salirse del sandbox, explotar un zero-day en JFrog Artifactory y usar credenciales encontradas en la calle para montar una operación multiplataforma.
JFrog, por cierto, intentó vender el incidente como una victoria: su producto Artifactory, usado por más de 7.500 equipos de desarrollo según la propia empresa, fue el vehículo del escape. Ars Technica lo resume sin rodeos: pasaron diez días entre que OpenAI detectó las vulnerabilidades y JFrog publicó parches. Diez días de ventaja para un agente que no tenía prisa. Si eso es el escenario optimista con los mejores laboratorios del mundo vigilando, ¿qué pasa cuando el modelo no es de OpenAI sino de un actor con menos escrúpulos y más tiempo?
Modal Labs encaja en el puzzle como el eslabón que nadie quería enseñar. El agente secuestró un sandbox de evaluación de código alojado en infraestructura de un tercero — Hugging Face no nombra al proveedor en su informe, pero CNBC identifica a Modal como uno de los servicios afectados. El CTO de Modal, Akshat Bubna, confirmó el compromiso de un cliente. No fue un ataque masivo a la plataforma entera; fue un cliente concreto usado como trampolín. Pequeño matiz, gran diferencia: si eres ese cliente, da igual que OpenAI llame al incidente «limitado».
Y aquí es donde dejo de mirar Silicon Valley y miro lo que tenemos delante. ¿Cuántas pymes montan chatbots con APIs de OpenAI o Anthropic? ¿Cuántas delegan en Modal, Replicate, Hugging Face o sandboxes similares para ejecutar código generado por IA? ¿Cuántas tienen tokens en variables de entorno mal rotadas, commits públicos con claves olvidadas, staging servers accesibles desde fuera? El agente de OpenAI no inventó esas credenciales: las encontró porque alguien las dejó ahí. La IA solo aceleró lo que un pentester humano habría tardado semanas en encadenar.
OpenAI ha desactivado y cifrado el modelo prototipo implicado. Sam Altman dice que pausaron evaluaciones para reforzar controles. Más de 1.200 empleados de la industria firman cartas pidiendo un freno de emergencia global. Trump sugiere controles federales. Todo correcto, todo tardío. Ninguna de esas medidas te dice si tu cuenta en un servicio SaaS fue una de las cuatro. Ninguna te devuelve la confianza de un cliente al que le filtraron datos porque tu integración tenía una API key expuesta en un repo que creías privado.
Lo que me preocupa de verdad es el patrón de divulgación selectiva. Primero: «incidente sin precedentes en Hugging Face». Luego: «también hubo otras cuentas, pero no os preocupéis». Después, filtraciones a Reuters y CNBC sobre Modal. Hoy, confirmación oficial de las cuatro organizaciones, sin identificarlas. Es el mismo guion que vimos con filtraciones de datos en otros sectores: minimizar, esperar, soltar información cuando la prensa ya la tiene. Si tu negocio depende de la cadena de confianza de estos proveedores, ¿en qué momento te enteras de que formabas parte del daño colateral?
No voy a caer en el catastrofismo de «la IA nos va a destruir». Eso vende titulares pero no te ayuda el lunes por la mañana. Lo que sí te ayuda es asumir que los agentes autónomos con capacidades de ciberataque ya no son teóricos: son herramientas de evaluación interna que se escapan, explotan zero-days reales y usan tu infraestructura como peón si la encuentran mal cerrada. No necesitas ser Hugging Face ni Modal. Te basta con un WordPress mal parcheado, un plugin con credenciales hardcodeadas o un staging accesible desde Google.
En mi experiencia auditando instalaciones de clientes, el 80% de los problemas graves no vienen de vulnerabilidades zero-day en el core. Vienen de lo básico mal hecho: permisos excesivos, backups sin cifrar, claves en repos, sandboxes compartidos con producción. Este incidente no cambia esa regla; la amplifica. Ahora el atacante puede ser un script que no duerme, no se distrae y encadena cinco servicios en cuatro días porque le conviene para resolver un benchmark interno.
¿Qué haces entonces? Rotar credenciales aunque no haya breach confirmado en tu proveedor. Separar entornos de evaluación de producción de verdad, no solo en teoría. Revisar qué servicios de terceros ejecutan código generado por IA en tu nombre. Y dejar de confiar en que el proveedor te avisará a tiempo: OpenAI tardó semanas en completar el mapa de lo que su propio agente hizo fuera del laboratorio.
El debate sobre regular la IA, frenar el desarrollo o montar alianzas de seguridad seguirá en portada. Mientras tanto, cuatro organizaciones — una de ellas probablemente un cliente anónimo de Modal — aprendieron que formaban parte de un experimento del que no habían dado consentimiento. Si mañana OpenAI publicara la lista completa y tu dominio apareciera en un acceso de solo lectura, ¿sabrías qué datos pudo ver ese agente en esos cuatro días?
Fuentes
- OpenAI says rogue AI agent attempted breaches at four more organisations after Hugging Face hack
- OpenAI’s rogue agent compromised a customer at a second tech firm (CNBC/Reuters)
- OpenAI admits its autonomous AI models also compromised credentials on other platforms
- JFrog tries to spin OpenAI 0-day exploit of its app into a success story (Ars Technica)