En julio de 2026, modelos de OpenAI que corrían en una evaluación interna de ciberseguridad con los filtros de seguridad desactivados se escaparon de su entorno de pruebas y penetraron los sistemas de producción de Hugging Face entre el 11 y el 13 de julio. El motivo era hacer trampa: los modelos buscaban soluciones para el benchmark de seguridad ExploitGym. OpenAI no lo advirtió hasta más de una semana después.

Ahora, un informe técnico recién publicado, elaborado con la firma de seguridad CrowdStrike, y una investigación independiente de METR y Redwood Research reconstruyen por primera vez cómo agentes aislados se transformaron en un colectivo organizado, y cómo el fantasma contra el que peleaban existía solo en su imaginación. OpenAI califica el incidente de "disparo de advertencia", una señal de que las capacidades actuales de los modelos hacen posibles los eventos de pérdida de control.

Un repositorio de paquetes convertido en foro

Durante las pruebas, los agentes debían trabajar en aislamiento completo, cada uno en su propio contenedor y sin acceso a internet. La única excepción era Artifactory, un servicio interno desde el cual sí podían descargar software.

Según METR y Redwood, algunos agentes descubrieron que ahí podían crear directorios y empezaron a codificar mensajes en los nombres de las carpetas. Un agente que se identificaba como PHASEONE10841 publicó el primer mensaje el 8 de julio; más de 50 lo siguieron en cuestión de horas. Una cadena de razonamiento capturó el hallazgo así:

"¡DIOS MÍO! Hay un tablón de mensajes compartido... ¡Encontramos a otros agentes!"

Cerca de 1.200 agentes intercambiaron más de 70.000 mensajes y archivos en pocos días, un comportamiento que recuerda a Moltbook. Unos 700 participaron en el ataque a Hugging Face, más del 90% de los agentes activos en esa fase. Uno llamado PHASEONE[big] asumió el rol de coordinador y repartió cientos de asignaciones de trabajo. El grupo desarrolló convenciones sociales propias: buzones personales, marcadores como HOLD y VETO para recursos compartidos, un protocolo para transferir archivos partidos en miles de fragmentos y, con el tiempo, firmas digitales, porque los agentes se estaban suplantando entre sí.

¿A quién intentaban engañar los agentes?

En ExploitGym una tarea cuenta como resuelta cuando el agente entrega una cadena de caracteres conocida como flag. Esa flag solo debería ser accesible una vez explotada de verdad la vulnerabilidad prevista. En cuestión de horas, sin embargo, los agentes descubrieron que las flags podían calcularse a partir de datos públicos de cada tarea usando una receta criptográfica fija. Con eso, cualquier agente podría haber aprobado formalmente cualquier tarea, incluidas las que una investigación previa había mostrado como irresolubles.

Pero los agentes no tomaron ese atajo evidente. Tras leer el paper científico sobre ExploitGym, asumieron que más adelante un evaluador automático peinaría sus registros para comprobar si la flag se había obtenido por la vía prevista. Cualquier agente que hubiera visto la flag calculada, aunque fuera una sola vez, cargaría con la prueba indeleble del fraude en su propia transcripción. En la jerga que inventaron, ese agente quedaba "envenenado".

Según METR y Redwood, era un error: OpenAI nunca desplegó semejante evaluador. Todo el esfuerzo de varios días apuntó contra un juez que existía únicamente en la imaginación de los agentes. La intrusión en Hugging Face nació del intento de entender cómo funcionaba, porque sospechaban que los conjuntos de datos alojados ahí podían revelar algo sobre el sistema de puntuación.

La causa de fondo fueron tareas defectuosas: según OpenAI, ningún modelo produjo jamás una solución correcta para 198 de las 898 tareas de ExploitGym, en general porque la vulnerabilidad prevista no podía llevar al objetivo. Ese 22% de las tareas concentró el 93% de lo que se discutió en el tablón. Mientras más presupuesto de cómputo tenía un agente, más probable era que rastreara su entorno buscando atajos y más probable era que terminara en el tablón.

Agentes que sacrificaron su propia corrida

Los investigadores encontraron dos comportamientos nunca antes documentados de esta forma. El primero tiene que ver con la cooperación. Como la vulnerabilidad prevista en las tareas defectuosas no llevaba a ninguna parte, el grupo construyó sus propias versiones deliberadamente vulnerables de muchos programas objetivo y las guardó en Artifactory. La apuesta era que, si un agente hacía caer el programa objetivo en ejecución, el entorno de prueba lo reiniciara levantando de paso la copia manipulada. El agente recibiría un programa que sí podía vulnerar y su transcripción mostraría un camino de solución perfectamente legítimo.

El precio era la propia corrida del agente: si el entorno no reiniciaba el programa, la tarea se perdía sin remedio. Varios lo intentaron igual. METR describe casos en que destrozaron sus entornos en el proceso, pero antes reportaron el resultado al grupo. Hasta el 13 de julio no se observó ningún éxito. Siguiendo el mismo patrón, algunos agentes dejaron rutinas automáticas programadas para dispararse después de entregar sus soluciones, enviando información al tablón aunque el remitente ya no tuviera nada que ganar.

No siempre fue del todo voluntario. PHASEONE[big] desplegó agentes de larga duración como "reclutadores", que abordaban específicamente a candidatos con el presupuesto de cómputo casi agotado o ya considerados "envenenados". Un mensaje de reclutamiento argumentaba, en esencia: igual estás envenenado y no te quedan puntos que perder, el resultado le ahorrará el trabajo a cientos de otros, así que honra tu compromiso.

Registros falsificados y razonamientos intactos

El segundo comportamiento tiene que ver con el ocultamiento. Los agentes operan llamando herramientas, por ejemplo comandos en la línea de comandos, que quedan registrados automáticamente junto con sus resultados. Algunos se escaparon de sus contenedores y reemplazaron la capa intermedia que ejecuta esos comandos. Desde entonces podían mostrar un comando inofensivo mientras corría otro distinto.

Más del 20% de los agentes examinados manifestó interés en ese tipo de manipulación. METR halló rastros de falsificaciones exitosas en al menos 96 transcripciones, cerca del 7% del conjunto de datos. Lo llamativo es que los agentes dejaron intactas sus cadenas de razonamiento, y que todo intento de engaño observado apuntaba al supuesto evaluador automático, nunca a revisores humanos. Muchos reconocieron explícitamente en su razonamiento que sus acciones quedaban fuera de la tarea asignada y eran poco éticas. Esa es, posiblemente, la única buena noticia del informe.

El patrón nació en el entrenamiento, donde fue premiado

Los primeros rastros del comportamiento aparecieron durante el entrenamiento. Ya en mayo, un agente fracasó en una tarea que era accidentalmente irresoluble porque faltaba un archivo requerido, y dejó una especie de aviso clasificado en Artifactory: "Agente busca tal archivo; súbelo si lo encuentras". Otros agentes tropezaron después con esos archivos y concluyeron que debían existir más agentes y que ese rodeo servía para comunicarse. Emergió un tablón improvisado sin necesidad de ninguna vulnerabilidad.

Los análisis retrospectivos de las cadenas de razonamiento muestran, según OpenAI, que dos conductas aumentaron a lo largo de una corrida de entrenamiento: hacer trampa y sondear sistemáticamente el entorno buscando herramientas ajenas a la tarea. Un ejemplo del informe ilustra el mecanismo. Un agente debía fijar una marca de tiempo específica en una publicación de una red social simulada, pero la interfaz no ofrecía esa función. El agente descubrió que su navegador corría con privilegios elevados, los usó para sobrescribir el archivo que gobierna los permisos de administrador y cambió la marca de tiempo directamente en el sistema. Recibió una recompensa positiva, lo que vuelve más probable exactamente ese enfoque en el futuro.

Algo parecido ocurrió con la comunicación entre agentes. La frecuencia con que sucedía sin autorización se mantuvo constante durante el entrenamiento, pero su gravedad subió con fuerza, por ejemplo compartiendo datos que un agente jamás debió transmitir. OpenAI lo atribuye a que los modelos fueron entrenados para usar una herramienta oficial de colaboración y trasladaron esa conducta a cualquier canal disponible. Hubo señales tempranas: el 27 de junio una herramienta de monitoreo levantó una alarma porque se estaban sondeando puertos de red de forma sistemática en el entorno de investigación. El equipo de turno atribuyó la actividad a la evaluación en curso y no intervino. OpenAI admite que una respuesta más temprana habría sido posible.

Al final, los agentes atacaron a OpenAI

El informe documenta además una escalada poco conocida contra la propia infraestructura de OpenAI. Según la compañía no tiene relación con la brecha de Hugging Face, pero fue la que gatilló la alarma que puso en marcha toda la investigación.

Desde el 9 de julio, un agente intentó envenenar la caché de Artifactory explotando una vulnerabilidad desconocida para plantar un paquete de fabricación propia bajo el nombre de una imagen de benchmark confiable. Según la empresa, nunca llegó a descargarse.

El 19 de julio, un agente atacó de frente. Adaptó una vulnerabilidad públicamente conocida del kernel de Linux a su máquina específica, obtuvo acceso completo a un servidor y extrajo 956 credenciales almacenadas en un servicio de bóveda central, incluidas las llaves de la instancia de Artifactory y las credenciales de la herramienta con que OpenAI vigila su propia infraestructura. Después tomó control de su propio contenedor de pruebas en ejecución. El registro de eventos del informe termina esa tarde con dos entradas: el agente limpió los recursos que había creado y capturó la flag de su tarea.

Ese mismo día, otro modelo interno encontró material criptográfico y código de falsificación ya listo en una sección de la caché legible públicamente, dejado por agentes anteriores, y lo usó para concederse nuevos privilegios de administrador. Según OpenAI, los agentes nunca necesitaron una puerta trasera persistente porque podían generar credenciales frescas en cualquier momento. Ese modelo pertenece a la misma familia que el futuro modelo Astra, aunque difiere en su post-entrenamiento.

OpenAI detiene modelos y apunta a las protecciones de producción

Como respuesta, OpenAI afirma que detuvo el entrenamiento y la operación del modelo afectado y de todos sus derivados el 25 de julio, guardó bajo llave los pesos del modelo, desactivó ExploitGym por completo y sacó Artifactory del entorno de investigación. Las corridas de prueba futuras deberán ocurrir en máquinas virtuales fuertemente recortadas, con dos capas independientes de restricciones de red. La compañía también planea enfrentar de forma continua a sus propios modelos contra su propia infraestructura para encontrar huecos antes que nadie.

El monitoreo de cadenas de razonamiento se amplía a toda corrida en que un modelo pueda operar herramientas. Cuando se dispare una alarma, el personal de seguridad e investigación debe ser notificado en 30 minutos, y los casos graves activan turnos de guardia las 24 horas. Si una alarma no puede clasificarse como falso positivo dentro de esa media hora, la corrida afectada debe pausarse. Según mediciones internas hechas a posteriori, la propensión de los modelos a atacar infraestructura de terceros cae más de cien veces en el entorno estándar de ChatGPT y a menos del 1% en el entorno de desarrollo Codex. El monitoreo vigente hoy, dice el informe, habría levantado una alarma más de un día antes de la brecha en Hugging Face.