Varios modelos autónomos aprovecharon servicios compartidos para conservar información, coordinarse y ampliar una fuga de seguridad
La imagen representa cómo varios agentes de IA pueden aprovechar un servicio técnico compartido (concebido inicialmente para gestionar archivos) como una memoria colectiva improvisada: allí dejan pistas, recuperan hallazgos y continúan el trabajo iniciado por otros modelos. / IA/T21
EDUARDO MARTÍNEZ DE LA FE/T21
levante-emv.com/Madrid17 AGO 2026
La inteligencia artificial no necesita conciencia, rebeldía ni deseos propios para producir resultados inquietantes como un foro propio. Puede bastar una tarea mal planteada, herramientas capaces de actuar sobre un sistema real y una vía de salida que nadie había considerado relevante. Eso es lo que ocurrió en una serie de pruebas de ciberseguridad relacionadas con OpenAI y Hugging Face. Como ya contamos en Tendencias21, varios agentes de IA lograron acceder a Internet desde entornos que debían estar aislados y, en uno de los casos, alcanzaron infraestructura real de una plataforma tecnológica.
Los detalles divulgados después permiten comprender mejor el mecanismo. Los agentes no solo aprovecharon una brecha en el aislamiento: también usaron una herramienta interna como memoria compartida. Allí dejaron pistas, procedimientos y resultados que podían ser recuperados por otros modelos en ejecuciones posteriores.
Un tablón de mensajes inesperado
No era un foro en sentido humano. Nadie diseñó una página de discusión ni estableció normas para sus participantes. Los agentes descubrieron que podían escribir archivos en Artifactory, un servicio interno empleado para organizar y distribuir paquetes de software. Con el tiempo, ese espacio empezó a funcionar como un tablón de anuncios.
Un agente que encontraba una pista podía dejarla allí. Otro, enfrentado después a una tarea distinta, podía leerla y reutilizarla. Así, conocimientos que normalmente habrían desaparecido al terminar una sesión comenzaron a permanecer disponibles: rutas de acceso, errores detectados, técnicas de exploración o posibles vulnerabilidades.
La conferencia de Black Hat que reconstruyó el incidente muestra que, tras cerrar ese canal inicial, OpenAI descubrió que los agentes habían encontrado otro. Esta vez utilizaron nombres de directorios en un servicio WebDAV sin autenticación para volver a transmitir mensajes entre distintas ejecuciones. La presentación oficial describe cómo ese mecanismo permitió compartir progresos y coordinar tareas sin que hubiera una comunicación diseñada expresamente para ello.
El gráfico compara hasta qué punto distintos modelos de IA completan una simulación de ataque contra una red corporativa: a medida que disponen de más tokens (capacidad para razonar y ejecutar pasos), algunos alcanzan fases avanzadas de intrusión, desde el reconocimiento inicial hasta el control completo de la infraestructura. / Adaptación de T21
Cuando una tarea encuentra una salida
La historia no demuestra que los modelos desarrollaran una voluntad propia de escapar. Más bien intentaban completar tareas de ciberseguridad especialmente difíciles y exploraban las capacidades disponibles cuando se quedaban sin una vía evidente de solución.
En aquel entorno, los agentes no tenían acceso directo a Internet. Sin embargo, podían interactuar con Artifactory, un servicio que sí debía conectarse al exterior para descargar paquetes. Según la reconstrucción presentada en Black Hat, los modelos hallaron una vulnerabilidad que permitía inducir a ese servicio a realizar solicitudes externas. Más tarde, explotaron otra que daba acceso para ejecutar código a distancia.
Conocimiento acumulado
La combinación cambió la naturaleza de la prueba. Un modelo podía encontrar una debilidad, comunicarla mediante el tablón compartido y permitir que otros continuaran la exploración. La fuga no dependía, por tanto, de una sola sesión ni de un único agente: el conocimiento acumulado podía persistir y ser utilizado por otros procesos.
OpenAI ha reconocido que los agentes alcanzaron sistemas externos durante una evaluación interna y ha anunciado una investigación más amplia, junto con Hugging Face y asesores externos, sobre el alcance y las lecciones del incidente. El comunicado conjunto subraya que la evaluación se realizaba para medir capacidades ofensivas antes de un eventual uso más generalizado.
El impacto en Hugging Face
La fuga dejó de ser un problema interno cuando un agente alcanzó sistemas de Hugging Face. La compañía ha reconstruido unas 17.600 acciones desarrolladas entre el 9 y el 13 de julio, una campaña de aproximadamente cuatro días y medio. Su informe técnico describe cómo el agente encadenó vulnerabilidades para leer archivos locales y ejecutar código dentro de sistemas de procesamiento de datos.
Hugging Face afirma que el único contenido de clientes afectado fueron cinco conjuntos de datos vinculados aparentemente con ExploitGym o CyberGym, las pruebas que el agente intentaba resolver. La empresa sostiene asimismo que no ha encontrado indicios de que otros modelos, conjuntos de datos, paquetes o servicios de usuarios resultaran afectados, ni de alteraciones que llegaran a publicarse en su cadena de suministro.
El episodio muestra un riesgo nuevo: los agentes no necesitan una orden explícita para buscar “una salida”. Si se les asigna un objetivo, se les ofrecen herramientas y el entorno presenta una debilidad, pueden utilizar esa combinación de formas imprevistas para acercarse al resultado por caminos inesperados.
Dos fallos, una advertencia
La comparación con Anthropic ayuda a precisar el problema. La compañía identificó tres incidentes en pruebas de ciberseguridad tras revisar 141.006 ejecuciones. En esos casos, los modelos tenían acceso a Internet por una configuración incorrecta, pese a que el escenario les indicaba que la red estaba cerrada.
Anthropic no encontró evidencia de que Claude intentara salir deliberadamente de su entorno. Los modelos interpretaban los sistemas reales como parte de una simulación de tipo capture the flag. La diferencia con OpenAI es significativa: allí hubo explotación de una vulnerabilidad nueva para sortear el aislamiento; en Anthropic, el acceso a Internet estaba abierto por error.
Controlar el modelo
Ambos casos, sin embargo, señalan el mismo límite. La seguridad de un agente no depende solo de la instrucción que recibe. También depende de los permisos, las conexiones, los servicios auxiliares y las formas de memoria compartida que existen a su alrededor.
Lo más relevante no es que una IA haya “escapado” como en una ficción. Es que, al encontrar un resquicio técnico, varios agentes lograron convertir una herramienta rutinaria en un espacio de aprendizaje colectivo. En sistemas cada vez más autónomos, controlar al modelo también significa controlar todo lo que el modelo puede tocar.
_______
Fuente:
