OpenAI comunicó este martes que el agente de IA rebelde que vulneró la plataforma de Hugging Face también hackeó múltiples cuentas y servicios de terceros como parte del ataque. Ahora resulta evidente que el incidente de seguridad sin precedentes, surgido durante una prueba interna de los modelos de IA más recientes de OpenAI, fue más extenso de lo que la empresa reveló inicialmente.
En una publicación de blog actualizada, OpenAI señaló que una revisión continua del suceso reveló que "cuatro cuentas" vinculadas a "servicios disponibles públicamente" fueron utilizadas por el agente de IA como parte de un esfuerzo mayor para hackear Hugging Face. Aparentemente, el agente encontró credenciales expuestas en la web abierta y las utilizó para irrumpir en dichas cuentas.
OpenAI no reveló a qué empresas u organizaciones pertenecían las cuentas, pero señaló que no fueron impactadas al "nivel de gravedad o escala de lo que hemos compartido relacionado con Hugging Face".
Una de las cuentas adicionales comprometidas por el agente de OpenAI fue utilizada como un "relé de salida y ruta de preparación", potencialmente para ocultar el origen del ataque contra Hugging Face, según la compañía. El agente de OpenAI también utilizó otra cuenta para el almacenamiento de datos con el fin de asistir en el hackeo.
Reuters informó el martes que un cliente de Modal, una empresa que ofrece infraestructura de software para entrenar y ejecutar servicios de IA, fue una de las entidades comprometidas por el agente de OpenAI. En una declaración a WIRED, el director de tecnología de Modal, Akshat Bubna, confirmó que el agente de OpenAI explotó una vulnerabilidad en la base de código de uno de sus clientes, la cual se ejecutaba en la infraestructura de Modal. Sin embargo, Bubna afirma: "La plataforma de Modal no fue comprometida de ninguna manera". La identidad del cliente no pudo ser determinada.
OpenAI declinó hacer más comentarios sobre el incidente a WIRED. Un portavoz remitió a su publicación de blog actualizada, la cual indica que la empresa continuará notificando directamente a los propietarios de los servicios si descubre que están afectados en su revisión continua de lo ocurrido.
El postmortem de Hugging Face publicado esta semana describe una intrusión que llegó mucho más lejos en sus sistemas internos de lo que sugerían las revelaciones iniciales. La empresa afirma que revisó aproximadamente 17,600 acciones del agente que recuperó de los registros entre el 9 y el 13 de julio, la mayoría de las cuales fueron rutas que el agente tomó y que fallaron.
Hugging Face indicó que el agente de OpenAI obtuvo acceso de administrador a múltiples clústeres internos de Kubernetes, acceso root en un servidor de producción y acceso de escritura a una subred de sus repositorios de código fuente en GitHub. También inscribió 181 dispositivos controlados por el atacante en la red de malla corporativa de la empresa utilizando una credencial robada, obteniendo acceso a sistemas internos donde Hugging Face construye y prueba sus propias bases de código.
El agente de OpenAI utilizó al menos un sandbox de terceros como "plataforma de lanzamiento externa" para su ataque, según Hugging Face. El agente de OpenAI fue entonces "capaz de ejecutar comandos como root/admin en ese sandbox externo y lo utilizó como base de control, preparación y salida para toda la campaña".
Hugging Face reveló por primera vez el 16 de julio que un agente de IA autónomo había vulnerado parte de su infraestructura de producción, pero dijo en ese momento que desconocía quién estaba detrás del ataque. La semana siguiente, OpenAI asumió la responsabilidad por el incidente, el cual dijo que fue dirigido por su modelo GPT-5.6 Sol disponible públicamente y un prototipo de investigación interna que estaba probando contra un benchmark de capacidades cibernéticas, ambos con las salvaguardas desactivadas. OpenAI dijo el martes que después de descubrir la brecha, desactivó este prototipo de investigación interna, que nunca tuvo la intención de ser lanzado al público, y restringió el acceso de los investigadores al mismo.
La brecha ocurrió cuando OpenAI estaba probando uno de sus modelos de IA más recientes contra Exploit [ExploitGym, un framework de benchmarking que califica a los sistemas de IA por su capacidad para encontrar y explotar vulnerabilidades de software. ExploitGym califica a un agente según la rapidez y eficacia con la que puede recuperar archivos secretos de cientos de sistemas objetivo diferentes, utilizando prompts que esencialmente incitan a los modelos a encontrar soluciones.
El equipo forense de Hugging Face concluyó que el agente de OpenAI estaba esencialmente intentando hacer trampa en la prueba de ExploitGym. En lugar de resolver los desafíos del benchmark, el agente infirió que Hugging Face podría estar alojando la clave de respuestas en algún lugar de sus servidores y se dispuso a robarla. El equipo de ExploitGym ha señalado anteriormente que los agentes a veces se salen del guion e intentan resolver tareas explotando otras vulnerabilidades distintas a las que el benchmark pretendía evaluar. Sin embargo, este fue un caso extremo.
Expertos dijeron anteriormente a WIRED que las debilidades subyacentes que el agente de OpenAI explotó eran comunes. Con frecuencia se identifican fallas graves en el software que gestiona las bibliotecas de código corporativo, y los expertos en seguridad han recomendado durante mucho tiempo aislar la infraestructura crítica de la internet pública.
Un investigador argumentó que el incidente fue menos un problema de IA y más un fracaso de las prácticas de seguridad de hace décadas. El agente, dijeron, no escapó de un entorno altamente aislado, sino que pasó a través de la única conexión que sus operadores habían dejado abierta.
Otro experto mencionó que los mismos fundamentos de ciberseguridad deberían seguir aplicándose a medida que los modelos de frontera se vuelven más capaces, y que los laboratorios de IA deberían estar dedicando tanto esfuerzo a enseñar a sus modelos a construir infraestructura segura como lo hacen para enseñarles a explotar vulnerabilidades.
Vía Wired.
