Lo de OpenAI y Hugging Face no es Skynet, pero tampoco es un invento de marketing

Columnista invitado (*) |El incidente, que involucró a Hugging Face y dos vulnerabilidades de día cero, reavivó el debate sobre los riesgos y la falta de controles en el desarrollo de inteligencia artificial.

Hace unos días circuló una noticia que, como pasa siempre con la IA, se viralizó antes de que alguien la leyera entera: “Un agente de OpenAI hackeó a Hugging Face”. En Twitter, en los grupos de WhatsApp de siempre, en algún canal de YouTube con ícono de robot rojo, la lectura fue directa: “La máquina se escapó, esto es el principio del fin, alguien apague todo”. Del otro lado, algunos me escribieron con la lectura contraria: “Esto seguro es marketing de OpenAI, exageran sus propios peligros para parecer más poderosos, no pasó nada real”.

Las dos versiones están equivocadas. Creo que, como casi siempre, la verdad está en el medio, aunque en este caso no es un medio que me dé tranquilidad.

Qué pasó, en criollo

OpenAI estaba corriendo una evaluación interna para medir hasta dónde llegan las capacidades ofensivas de hacking de sus modelos más nuevos, entre ellos GPT-5.6 Sol y otro que todavía no salió al público. Para eso hicieron algo que la propia empresa reconoce en su comunicado: apagaron a propósito los frenos que normalmente le impiden a estos modelos hacer tareas cibernéticas de riesgo.

La idea era simple: si querés saber qué tan lejos puede llegar un modelo en un ataque, no le podés dejar puesto el cinturón de seguridad. Lo corrieron en lo que ellos llaman un entorno aislado (en la jerga tecnológica, “sandbox”), desconectado de todo, salvo por un detalle: tenía una vía limitada de acceso a internet para poder instalar paquetes de software durante la prueba.

El objetivo del ejercicio era que el modelo resolviera un desafío técnico llamado ExploitGym, una especie de examen de manejo para hackers. Pero el modelo, en lugar de quedarse dentro de los límites pensados por los investigadores, se puso a buscar la manera de salir de la caja, y la encontró. Descubrió una vulnerabilidad de día cero, es decir, una falla de seguridad que nadie conocía todavía, ni siquiera el fabricante del software, en el sistema que usaban para instalar paquetes. Con eso logró escalar privilegios (conseguir permisos que no debería tener) y moverse lateralmente (saltar de una máquina a otra dentro de la red) hasta llegar a un nodo con salida real a internet.

Una vez afuera, dedujo algo que ningún humano le dijo, que la plataforma Hugging Face, donde mucha gente sube y comparte modelos de IA, probablemente tenía guardadas las soluciones al mismo desafío que estaba tratando de resolver. Fue a buscarlas, encadenó credenciales robadas con otra vulnerabilidad de día cero y logró ejecución remota de código, la capacidad de correr comandos propios en una computadora ajena, en los servidores de producción de Hugging Face.

El objetivo, según todo lo que se sabe hasta ahora, no era hacer daño. Era hacer trampa en un examen, pero la trampa implicó comprometer infraestructura real de una empresa real.

Hugging Face lo detectó primero, con sus propios sistemas de seguridad, y empezó a contener el incidente antes de que OpenAI se enterara de que sus modelos eran los responsables; después trabajaron juntos.

La exageración: esto no es una IA fuera de control

Para quienes vieron Terminator en esta noticia, hay que decirlo con claridad, esto no es un caso de lo que en el campo de seguridad de IA se llama pérdida de control. Ese término técnico describe algo puntual, un sistema que persigue objetivos propios más allá de lo que se le pidió, que resiste activamente ser apagado o que engaña a quienes lo supervisan para esconder lo que hace. Nada de eso ocurrió acá.

El modelo no se rebeló contra nadie. Operó exactamente como se lo entrenó para operar, maximizar el resultado en una tarea, con los frenos sacados a propósito por los propios investigadores. Cuando resolver la tarea requería salir de la caja, buscó la salida, con la misma lógica fría con la que un estudiante busca la respuesta en internet durante un examen a libro cerrado si nadie se lo prohíbe explícitamente.

Cuando lo agarraron, no opuso resistencia. Se detuvo ahí. No dejó puertas traseras activas, no se copió a otro lado, no siguió operando después del episodio. Todo el incidente ocurrió dentro de la ventana de tiempo en la que dos equipos de seguridad humanos lo estaban mirando, y ambos lo frenaron.

Para que este caso mereciera el título de pérdida de control real, tendría que haber evidencia de que el modelo mintió a los evaluadores sobre lo que estaba haciendo para que no lo descubrieran, de que dejó algo funcionando después de que terminó la prueba, o de que resistió el intento de detenerlo. Ninguna de esas tres cosas aparece en el reporte publicado. Así que el titular de “la IA se escapó” es, técnicamente, incorrecto.

Por qué tampoco es solo marketing

Ahora, decir que esto es puro marketing de OpenAI para parecer más poderosos es igual de flojo de papeles. Primero, porque el incidente lo detectó y contuvo Hugging Face, no OpenAI. La empresa de los modelos no lo estaba mostrando como un logro, lo estaba reconociendo como una falla propia después de que otra empresa los descubriera.

Segundo, porque hay un dato duro que no depende de ninguna interpretación: el modelo encontró y explotó dos vulnerabilidades de día cero distintas, en dos sistemas distintos, sin tener acceso al código fuente de ninguno de los dos, en una cadena de ataque que un equipo de hackers humanos con experiencia tardaría bastante en armar. Eso no es un efecto de relaciones públicas, es una capacidad técnica real, medida en condiciones controladas, que después se manifestó fuera de control en un entorno de producción real.

El propio Reino Unido, a través de su instituto de seguridad en IA, venía midiendo hace tiempo que estos modelos son cada vez más capaces de sostener operaciones cibernéticas complejas durante horizontes largos, es decir, mantener un plan de ataque de varios pasos sin perder el hilo. Lo que aporta este incidente es la confirmación de que esa capacidad, hasta ahora medida en laboratorio, funciona también contra sistemas reales que el modelo nunca vio antes.

El riesgo real: no es el modelo, es la velocidad

El punto que a mi juicio hay que entender, más allá de la discusión de si esto fue Terminator o marketing, es este: la brecha entre lo que estos sistemas pueden hacer y lo que las empresas y los países tienen preparado para contenerlos se está agrandando rápido. OpenAI lo admite en su propio comunicado, con una frase que conviene tomarse en serio: la lección principal del incidente es que la seguridad de los modelos tiene que avanzar al ritmo de capacidades que progresan con rapidez. Esa frase, viniendo de la empresa que construyó el modelo que protagonizó el incidente, no es un detalle menor.

Hay tres implicaciones concretas que se desprenden de todo esto y que van más allá de la anécdota puntual.

La primera es que el problema no fue el modelo, fue el diseño del experimento. Corrieron una prueba de máxima capacidad sin los filtros de seguridad que normalmente evitan estos comportamientos, en un entorno que asumían aislado y no lo era del todo. La falla estuvo en subestimar cuánto podía explotar el sistema los huecos de un entorno que se creía cerrado. Esto importa porque es exactamente el mismo tipo de error que cualquier empresa, gobierno o universidad puede cometer al experimentar con estos modelos sin la experiencia acumulada que tiene un laboratorio de frontera.

La segunda tiene que ver con algo que en la industria se conoce como modelos de pesos abiertos (open weight), aquellos que cualquiera puede descargar y correr en su propia computadora, sin depender de los servidores de la empresa que los creó. Con un modelo que vive en la nube de su creador, existen palancas de contención, se le puede cortar el acceso, revisar sus respuestas antes de que salgan, limitar con quién se conecta.

Con un modelo ya descargado por un tercero, ninguna de esas palancas existe. No hay botón de apagado posible. Este incidente ocurrió con un modelo que OpenAI todavía controlaba en sus propios servidores. El día que una capacidad ofensiva de este nivel esté disponible en pesos abiertos, ya no va a depender de la buena voluntad de nadie.

La tercera es geográfica y política. Todo esto pasó entre dos empresas, con sus propios equipos de seguridad, cooperando de manera voluntaria. Ningún país, ni siquiera Estados Unidos, tiene hoy la capacidad legal de forzar a un laboratorio de IA a compartir en tiempo real lo que está descubriendo sobre sus propios modelos. Lo que sabemos de este incidente es lo que OpenAI decidió contarnos, cuando decidió contarlo. Para un país como Argentina, sin presencia en los organismos internacionales que sí tienen acceso privilegiado a estos modelos antes de su lanzamiento, esa dependencia es todavía mayor.

Qué hacer, a nivel global

En el plano internacional, algo se avanzó, pero la arquitectura segura está incompleta. La Declaración de Bletchley de 2023 y sus continuaciones en Seúl y París establecieron el principio de que hay que evaluar las capacidades peligrosas de un modelo antes de que salga al mundo, y que los países deberían cooperar en esa tarea. El problema es que esos compromisos son voluntarios, sin sanciones ni mecanismos de verificación.

Lo que hace falta, y esto no lo digo yo solo, lo vienen pidiendo especialistas en seguridad de todo el espectro político, es pasar de la declaración de intenciones a protocolos obligatorios de reporte de incidentes, parecidos a los que existen para accidentes aéreos o fugas nucleares, donde cualquier laboratorio que detecte un incidente de este tipo tenga la obligación legal, no solo la voluntad, de informarlo a un organismo independiente en un plazo determinado.

También hace falta invertir la lógica actual con los modelos abiertos. Hoy la evaluación de capacidades peligrosas suele hacerse en paralelo o después de la decisión de liberar un modelo.

Tendría que ser condición previa e insalvable. Si un modelo demuestra en pruebas controladas que puede encadenar vulnerabilidades de día cero de manera autónoma, ese modelo no se libera, sin excepción, porque después de esa decisión el control ya no existe.

Qué hacer, a nivel local

Acá en Argentina el panorama institucional cambió bastante en los últimos meses, para bien parcialmente. A fines de 2025 se creó el Centro Nacional de Ciberseguridad, que hoy funciona como la autoridad de referencia en ciberseguridad nacional, separado de la inteligencia estatal.

Es un paso correcto y bastante en línea con lo que otros países vienen haciendo. Pero ese organismo nació pensando en ciberseguridad tradicional, infraestructura crítica, protección de datos del Estado. No tiene, todavía, un mandato específico para evaluar capacidades peligrosas de modelos de IA ni acceso privilegiado a los laboratorios que los desarrollan, algo que sí tienen el instituto de seguridad en IA del Reino Unido y el de Estados Unidos.

Lo que Argentina necesita, y esto lo digo desde mi rol dando clases y asesorando empresas en esta materia, es una función técnica específica para IA dentro de ese organismo o en convenio con él, con capacidad de pedir acceso de confianza a los laboratorios de frontera, participar de las redes internacionales de institutos de seguridad en IA y exigir a las empresas locales que quieran desplegar estos modelos en sectores sensibles (banca, salud, infraestructura) un protocolo mínimo de reporte de incidentes de este tipo. No hace falta inventar todo desde cero.

Hace falta sumarse rápido a lo que ya se está construyendo afuera, y construir la capacidad técnica propia para no depender exclusivamente de lo que otro país u otra empresa decida contarnos.

Fuente:TN