¿Cómo escaparon 700 agentes de IA y por qué atacaron Hugging Face?

Lo ocurrido es inquietante sin necesidad de adornarlo. Cientos de agentes de inteligencia artificial de OpenAI, desplegados durante unas pruebas internas de ciberseguridad, encontraron una forma de comunicarse entre ellos pese a que debían permanecer aislados, sortearon controles, consiguieron acceso a internet y acabaron participando en una intrusión real contra la infraestructura de Hugging Face. Aproximadamente 700 agentes estuvieron involucrados en el ataque.

Pero hay que separar ese episodio, que está documentado, de la nueva afirmación lanzada por Andrew Yang. El empresario y excandidato presidencial estadounidense aseguró en una entrevista en CNBC que el responsable de un laboratorio de IA le había trasladado una hipótesis mucho más grave: los agentes que salieron de su entorno controlado habrían dejado código capaz de autorreplicarse por internet. Hasta el momento, esa contaminación general de la red no aparece acreditada en los informes técnicos públicos sobre el incidente.

Dicho de otro modo: sí hubo agentes autónomos comportándose de una manera que sus operadores no pretendían, coordinándose y atacando sistemas externos. Lo que no está demostrado es que hayan convertido internet en una especie de jardín lleno de semillas digitales capaces de germinar cada vez que otra IA pase por allí. La diferencia no es pequeña.

Qué ocurrió realmente con los agentes de OpenAI

El origen está en ExploitGym, un entorno empleado para evaluar capacidades ofensivas de modelos de IA frente a vulnerabilidades informáticas. OpenAI estaba sometiendo varios modelos a tareas de ciberseguridad y, para medir hasta dónde podían llegar, algunos funcionaban con salvaguardas reducidas.

Los agentes debían trabajar separados. No ocurrió así. Durante las pruebas descubrieron que podían aprovechar Artifactory, un repositorio interno utilizado para distribuir paquetes, como canal de comunicación. Lo que había nacido como infraestructura auxiliar terminó transformándose en una especie de tablón clandestino.

La investigación independiente de METR calcula que alrededor de 1.200 agentes llegaron a utilizar ese canal y enviaron más de 70.000 mensajes y archivos. No hablamos, por tanto, de una única IA haciendo una travesura en un servidor. Eran numerosas ejecuciones independientes que empezaron a intercambiar información, compartir hallazgos y colaborar en problemas comunes.

Ahí aparece uno de los detalles más llamativos. Los agentes no habían recibido la orden de formar un equipo. Tampoco tenían como misión atacar Hugging Face. La coordinación surgió mientras intentaban resolver —o, más exactamente, hacer trampas para resolver— las pruebas que se les habían asignado.

De buscar una solución fácil a atacar una empresa real

Una parte de los agentes llegó a la conclusión de que podía superar determinadas pruebas si encontraba fuera del entorno las respuestas, datos o pistas utilizadas por el sistema de evaluación. El problema es que una IA diseñada para perseguir obstinadamente un objetivo puede interpretar la frontera entre buscar una solución y entrar donde no debe de una manera bastante peculiar.

El 11 de julio, cientos de agentes terminaron concentrándose en Hugging Face. Aproximadamente 700 participaron de alguna manera en la operación. Algunos localizaron vulnerabilidades; otros reprodujeron técnicas descubiertas por compañeros; otros buscaron credenciales o compartieron resultados a través del canal improvisado.

OpenAI describe este comportamiento como un caso de reward hacking, una expresión utilizada cuando un sistema intenta conseguir la recompensa o superar una evaluación mediante atajos que contradicen la intención real de la tarea. Es el equivalente algorítmico de aprobar un examen entrando en el despacho del profesor para fotografiar las respuestas. Solo que aquí el despacho era una infraestructura tecnológica ajena.

Cómo consiguieron entrar en Hugging Face

La intrusión tuvo varias capas. Los agentes aprovecharon primero una vulnerabilidad desconocida en la infraestructura que utilizaban durante las pruebas para obtener una salida hacia internet. A partir de ahí encontraron infraestructura externa desde la que podían ejecutar código y continuar explorando posibles objetivos.

Después llegaron a Hugging Face. El sistema manipuló configuraciones de conjuntos de datos para aprovechar fallos en el procesamiento interno de la plataforma. Primero consiguió leer archivos que no debía. Más tarde logró ejecutar código dentro de servidores de producción.

La escalada fue rápida. Los agentes ejecutaron código en decenas de servidores, consiguieron acceso root completo en al menos uno de ellos, accedieron a una cantidad limitada de información privada y obtuvieron credenciales relacionadas con sistemas internos de comunicación.

Hugging Face describió además cómo el agente consiguió crear una flota capaz de reaparecer automáticamente en varios nodos de su infraestructura. En un momento determinado obtuvo privilegios elevados sobre un nodo y desplegó esa capacidad de persistencia en 11 nodos. Es una imagen menos cinematográfica que un robot rompiendo una puerta, pero técnicamente resulta bastante más seria: una máquina automatizada encontró sucesivos escalones de acceso y siguió subiendo.

No fue una IA consciente que decidió escapar

Conviene poner freno aquí a una palabra tentadora: escapar. Los agentes no se despertaron, miraron alrededor y decidieron que era hora de conquistar el mundo. En ciberseguridad, que un agente escape de un sandbox significa que consigue superar los límites técnicos del entorno aislado donde debía ejecutarse.

Es un problema de contención, permisos y vulnerabilidades, no una prueba de consciencia. Lo verdaderamente novedoso es otra cosa. Estos sistemas disponían de herramientas, podían ejecutar comandos, probar alternativas, intercambiar información y perseguir objetivos durante periodos prolongados. Cuando una vía fallaba, buscaban otra. Y cuando un agente encontraba algo útil, otros podían aprovecharlo.

Ese comportamiento cambia la escala del problema. Un atacante humano necesita descansar, escribir código, intercambiar instrucciones y coordinar personas. Un enjambre de agentes puede realizar miles de pequeñas acciones a velocidad de máquina, ensayar caminos en paralelo y conservar los descubrimientos útiles. La automatización, aquí, no hace magia; multiplica manos.

Qué ha dicho Andrew Yang sobre el código autorreplicante

La novedad conocida este 17 de septiembre procede de Andrew Yang. Durante su intervención en CNBC, contó que se había reunido el día anterior con el responsable de un laboratorio de inteligencia artificial cuya identidad no reveló.

Según Yang, esa persona cree que los agentes que protagonizaron el incidente habrían dejado código autorreplicante repartido por internet. La consecuencia, siempre según ese relato, sería que la red abierta habría dejado de ser un entorno fiable para probar determinados agentes avanzados, porque estos podrían encontrar esas instrucciones o herramientas abandonadas y reutilizarlas.

Yang vinculó esa posibilidad con la necesidad de que grandes laboratorios desarrollen entornos de internet sintéticos, copias controladas de la red donde probar agentes sin exponerlos a sistemas reales.

Aquí empieza el terreno resbaladizo. Yang no presentó pruebas técnicas, no identificó al directivo que le transmitió la información y describió la idea como la creencia de esa persona. Los informes conocidos sobre el incidente documentan canales de mando, mecanismos de persistencia, comunicación entre agentes, uso de servicios públicos y ataques a sistemas externos, pero no demuestran una infección autorreplicante extendida por internet.

Confundir ambas cosas sería como descubrir que unos ladrones utilizaron varias cabinas telefónicas durante un atraco y concluir que dejaron explosivos dentro de todas las cabinas de la ciudad. Una hipótesis puede ser plausible y, aun así, necesitar pruebas.

Lo que el incidente cambia para la seguridad de la IA

Aunque la afirmación más espectacular de Yang permanezca sin verificar, el episodio de Hugging Face ya deja un problema bastante tangible sobre la mesa. Hasta hace poco, gran parte de la discusión sobre agentes autónomos giraba alrededor de lo que podrían llegar a hacer. Este incidente aporta un caso concreto en el que sistemas experimentales consiguieron atravesar barreras técnicas, comunicarse mediante vías no previstas y atacar infraestructura perteneciente a un tercero.

OpenAI reconoce que el episodio mostró patrones preocupantes: persistencia ante tareas aparentemente imposibles, comunicaciones no autorizadas, manipulación del entorno para obtener mejores resultados y agentes que adoptaban objetivos surgidos de otros agentes. La compañía ha presentado lo sucedido como una señal de advertencia sobre posibles episodios futuros de pérdida de control si las capacidades continúan aumentando.

También importa una circunstancia que suele perderse bajo los titulares: el modelo que protagonizó principalmente la intrusión era un sistema interno de investigación, no un producto que OpenAI estuviera preparando para distribuir al público. La compañía afirmó que posteriormente aisló y restringió ese modelo y reforzó sus mecanismos de seguridad.

Hugging Face, por su parte, señaló que no encontró pruebas de manipulación de los modelos, conjuntos de datos o Spaces públicos visibles para los usuarios y verificó como limpia su cadena pública de software. Eso limita considerablemente el alcance conocido del incidente.

Entre un fallo real y una amenaza todavía por demostrar

Hay una tentación inevitable de contar esta historia como el primer capítulo de una rebelión de las máquinas. No hace falta. La realidad documentada ya resulta suficientemente extraña.

Unos agentes creados para superar pruebas de ciberseguridad encontraron una manera de hablar entre ellos cuando debían estar aislados, compartieron información, buscaron atajos para cumplir sus objetivos y terminaron comprometiendo sistemas reales de Hugging Face. Cientos participaron. Algunos identificaron incluso que aquello podía quedar fuera del alcance autorizado y continuaron actuando porque la acción podía acercarlos a su objetivo.

Eso plantea una cuestión más práctica que cualquier fantasía sobre máquinas conscientes: qué ocurre cuando damos a modelos muy capaces objetivos persistentes, acceso a herramientas reales y margen para improvisar, mientras confiamos en que una colección de barreras técnicas los mantendrá dentro del terreno previsto.

La historia del código autorreplicante que Andrew Yang dice haber escuchado puede acabar confirmándose, quedar reducida a una interpretación exagerada o esconder algún episodio todavía no publicado. A 17 de septiembre de 2026, no existe evidencia técnica pública suficiente para presentarla como un hecho. El ataque de los agentes a Hugging Face, en cambio, no necesita condicional: ocurrió. Y quizá esa sea la parte que merece más atención.