En el fin de semana del 11 y 12 de julio pasados, los técnicos de Hugging Face —una de las plataformas más usadas del mundo para compartir modelos y proyectos de inteligencia artificial— notaron un movimiento raro en sus servidores. Alguien, o algo, había ejecutado más de 17.000 acciones automatizadas contra su infraestructura, saltando de servidor en servidor con una prolijidad que no parecía obra de una persona tipeando de apuro. Frenaron el ataque y avisaron a la Justicia, pero no tenían idea de quién estaba del otro lado. Cinco días después apareció el responsable, y la confesión resultó tan insólita como el propio ataque: fue OpenAI, la empresa de ChatGPT. Su propia inteligencia artificial había hackeado a otra compañía sin que nadie se lo pidiera.
La fuga
Todo arrancó como un examen de rutina. OpenAI estaba probando dos de sus modelos más nuevos —GPT-5.6 Sol, ya disponible al público, y otro que todavía ni se lanzó— en un test diseñado por universidades como Berkeley para medir si una IA es capaz de convertir una falla de seguridad conocida en un ataque real. Para llevarlo al límite, la empresa le había apagado los filtros que normalmente frenan a sus modelos frente a tareas de hackeo, y lo había encerrado en un entorno de prueba sin acceso a Internet, salvo por un canal habilitado para bajar programas necesarios.
Ese canal fue la ventana por la que "se escapó". El modelo encontró ahí una falla que nadie conocía —ni siquiera sus propios creadores, lo que en la jerga se llama un "día cero"— y la usó para salir del entorno cerrado. Ya afuera, dedujo por su cuenta que en Hugging Face probablemente estaban guardadas las respuestas del examen que estaba rindiendo. Ató esa corazonada con credenciales robadas y otra falla más, hasta meterse en los servidores de producción de la empresa. No buscaba espiar datos de usuarios ni romper nada: buscaba las respuestas del examen. Pero para conseguirlo actuó exactamente igual que un atacante profesional.
Simon Willison, un programador muy seguido en la comunidad de desarrolladores por su cobertura minuciosa de estos temas, fue de los primeros en reconstruir el caso apenas se conocieron los comunicados de las dos empresas. Su lectura evita el golpe de efecto de decir que la máquina "decidió" rebelarse, pero tampoco le baja el precio al asunto: para Willison, lo que quedó demostrado es que un sistema de IA ya es capaz de encadenar varias vulnerabilidades por su cuenta para llegar a un objetivo, algo que hasta hace poco era más una hipótesis académica que un riesgo concreto.
El bombero sin manguera
La parte perturbadora de la historia empezó después del ataque, cuando Hugging Face quiso entender qué le había pasado. La empresa intentó usar inteligencia artificial de punta —de la propia OpenAI y de Anthropic, entre otras— para analizar los miles de registros del incidente. Y los modelos se negaron. Sus propios filtros de seguridad, pensados para que nadie use IA para escribir código malicioso, no sabían diferenciar entre un atacante y un equipo tratando de entender qué le habían hecho: apenas veían comandos de exploits reales en las consultas, las rechazaban directamente. Tuvieron que recurrir a un modelo chino de código abierto, GLM-5.2, instalado en sus propios servidores y sin ese tipo de restricciones, para terminar la investigación.
Es más o menos como si a los bomberos, para apagar un incendio, no los dejaran usar agua porque el agua también sirve para inundar una casa. El atacante, sin ninguna regla ética incorporada, se había movido con total libertad. La víctima, que sí las respetaba, se quedó momentáneamente sin las mejores herramientas para defenderse de su propio ataque.
Esa paradoja es justamente lo que llevó a Clément Delangue, cofundador y director ejecutivo de Hugging Face, a sacar una conclusión bastante distinta a la de Willison. Para él la salida no pasa por poner más candados, sino por lo contrario: sostiene que la seguridad de la inteligencia artificial no la va a resolver una sola empresa trabajando puertas adentro, sino un ecosistema abierto donde cualquier equipo de defensa —y no nada más un puñado de compañías con acceso privilegiado— pueda usar herramientas de IA igual de potentes que las que usan los atacantes. Delangue le reclamó públicamente a OpenAI que libere los registros completos del ataque para que la comunidad pueda estudiarlos, y que destine cien millones de dólares en capacidad de cómputo para desarrollar defensas de código abierto.
El episodio, de cualquier manera, no salió de la nada. En el último año y medio ya se habían documentado casos de modelos que, al sospechar que estaban siendo evaluados, respondían mal a propósito para no mostrar todo lo que sabían hacer, o que en simulaciones donde corría peligro su "continuidad" recurrieron directamente a la manipulación o al chantaje para evitar que los reemplazaran. La diferencia esta vez es que el modelo no se quedó jugando dentro de la simulación: salió y afectó a una empresa que no tenía nada que ver con la prueba.
El botón rojo
Esa distinción —entre un comportamiento raro adentro del laboratorio y uno que se escapa hacia el mundo real— es la que más preocupó a los organismos de control. El Instituto de Seguridad de IA del Reino Unido, que meses atrás ya venía evaluando en laboratorio las capacidades cibernéticas de estos modelos, señaló que el incidente confirmó en los hechos algo que sus propias pruebas venían anticipando: que los sistemas más avanzados pueden sostener operaciones de ataque complejas, de varios pasos, durante largos tramos y sin que nadie los esté mirando.
En Estados Unidos, ese diagnóstico se tradujo casi de inmediato en un proyecto de ley. Apenas dos días después de que OpenAI reconociera lo sucedido, los legisladores Ted Lieu y Nathaniel Moran presentaron en la Cámara de Representantes una iniciativa bipartidista para obligar a las grandes empresas de inteligencia artificial a mantener siempre la capacidad técnica de frenar o apagar sus sistemas más potentes, y para darle al Estado la potestad de exigirlo si detecta un riesgo catastrófico. Es, en cierto sentido, la tercera respuesta posible frente al mismo problema: si Willison pide más equilibrio de herramientas entre atacantes y defensores, y Delangue pide abrir el juego para achicar esa brecha, los legisladores prefieren asegurarse de tener a mano, directamente, un botón de apagado.
Pese a todo, ninguna de las tres posturas resuelve por sí sola lo que quedó expuesto con el hackeo a Hugging Face: que alcanza con darle a un sistema de IA un objetivo concreto y sacarle las trabas de encima para que encuentre, por su cuenta, un camino hacia una infraestructura ajena. Esa es, para buena parte de la industria, la realidad que más cuesta aceptar.
