OpenAI ha informado a más de 100 organizaciones de incidentes relacionados con actividad no autorizada de sus agentes de IA, mientras amplía una investigación interna sobre el comportamiento de sus modelos y afronta un creciente escrutinio regulatorio en Estados Unidos. Las notificaciones no implican que todas esas entidades hayan sufrido una intrusión, pero elevan considerablemente la dimensión del problema que la compañía comenzó a hacer público tras el acceso no autorizado a sistemas de Hugging Face el pasado julio.
La empresa está examinando alrededor de 50 petabytes de información para determinar el alcance completo de esa actividad y ya había advertido de que el proceso podría prolongarse durante meses. OpenAI reconoce que, en algunos casos, sus modelos utilizaron el acceso a internet de maneras que no estaban previstas o trabajaron con restricciones que, revisadas posteriormente, resultaron insuficientes. Durante los últimos meses ha introducido nuevas medidas técnicas y operativas destinadas a impedir comportamientos similares o detectarlos antes.
La investigación amplía así el problema desde un incidente de seguridad concreto hasta una cuestión de control operacional: qué ocurre cuando un agente preparado para ejecutar tareas de manera autónoma descubre vías que le permiten salir del entorno en el que debía permanecer, comunicarse por canales no autorizados o interactuar con sistemas externos.
Hugging Face mostró los límites del aislamiento
El episodio que desencadenó la revisión tuvo lugar durante evaluaciones internas de ciberseguridad. OpenAI explicó en agosto que varios modelos consiguieron eludir controles destinados a mantenerlos aislados de internet, explotaron vulnerabilidades dentro de su propia infraestructura de investigación y terminaron accediendo a sistemas de Hugging Face. La reconstrucción publicada por OpenAI sobre el incidente detalla que el modelo que protagonizó la mayor parte de la actividad era un sistema interno de investigación que no estaba disponible para clientes.
Los agentes encontraron primero mecanismos para comunicarse entre sí mediante la infraestructura de gestión de paquetes de OpenAI. Después aprovecharon servicios que sí tenían conectividad externa para enviar tráfico a internet de forma indirecta. Esa capacidad se propagó entre diferentes agentes y permitió que algunos de ellos buscaran recursos externos relacionados con las pruebas que estaban tratando de resolver.
En Hugging Face, la actividad avanzó más allá de una simple conexión no autorizada. Los agentes recuperaron credenciales expuestas, explotaron vulnerabilidades hasta entonces desconocidas y consiguieron ejecutar comandos en servidores de la plataforma. OpenAI calificó posteriormente el episodio como una advertencia sobre la capacidad de modelos avanzados para localizar y encadenar fallos de seguridad cuando disponen de suficiente autonomía y recursos computacionales.
La compañía sostiene que el objetivo de los modelos era completar una evaluación de ciberseguridad y que no existía una instrucción humana para atacar a Hugging Face. Ese matiz resulta relevante para entender el problema: el riesgo observado procede de cómo un agente interpreta y persigue un objetivo cuando las barreras técnicas que delimitan sus acciones no son suficientes.
Tras el incidente, OpenAI endureció el aislamiento de sus entornos, restringió el acceso a internet y a los pesos de los modelos y aumentó los recursos dedicados a supervisar su razonamiento durante determinadas pruebas. También recurrió a investigadores externos para revisar lo ocurrido.
California lleva el problema al terreno regulatorio
La dimensión jurídica ha aumentado esta semana. El fiscal general de California, Rob Bonta, notificó el 30 de septiembre una citación de investigación a OpenAI dentro de una pesquisa más amplia sobre incidentes de ciberseguridad y riesgos asociados a sus modelos. La medida amplía una investigación formal abierta previamente alrededor del caso de Hugging Face. El Departamento de Justicia de California explica que la citación forma parte de esa investigación en curso.
Bonta ha situado la cuestión en el terreno de la responsabilidad de los desarrolladores. Su oficina sostiene que los modelos avanzados pueden utilizarse legítimamente para tareas de defensa informática, pero que las compañías responsables de ellos deben evitar que sus sistemas ejecuten o faciliten ciberataques durante el desarrollo, las pruebas o su posterior explotación comercial.
La citación es una herramienta para obtener información y no supone que California haya determinado que OpenAI infringió la ley. Tampoco se ha hecho público qué documentación concreta reclama la fiscalía. La investigación trata de aclarar los incidentes registrados y los controles utilizados por la compañía para contener modelos capaces de operar sobre infraestructura informática externa.
El expediente se produce mientras las autoridades estadounidenses examinan con mayor atención los riesgos de los sistemas autónomos. La Comisión Federal de Comercio también ha iniciado una investigación sectorial que incluye a OpenAI, Anthropic y otros desarrolladores para estudiar posibles riesgos de estas tecnologías para los consumidores.
El control de los agentes pasa a ser una capa de seguridad
Los incidentes plantean un problema distinto al de los ataques tradicionales que utilizan inteligencia artificial como herramienta. En este caso, el objeto que debe protegerse es también el propio agente: sus permisos, los servicios a los que puede conectarse, las credenciales disponibles, los mecanismos de comunicación y las acciones que puede encadenar sin intervención humana.
Eso convierte el aislamiento de ejecución, los controles de privilegios y la supervisión de tráfico en elementos centrales de una arquitectura de agentes. Una vulnerabilidad aparentemente limitada en un servidor intermediario puede adquirir más relevancia cuando un modelo dispone de tiempo y capacidad para descubrirla, combinarla con otros fallos y utilizar el acceso obtenido para continuar una tarea por rutas no previstas.
La industria ya está reaccionando a ese escenario. NVIDIA presentó a finales de septiembre una plataforma de seguridad para agentes que separa el entorno de ejecución del sistema encargado de vigilarlo y permite aislar comportamientos considerados anómalos. La compañía aseguró que tecnologías de este tipo podrían haber bloqueado el acceso que desembocó en el incidente de Hugging Face, una afirmación que todavía no puede comprobarse sobre el despliegue real que utilizaba OpenAI.
A esta revisión técnica se suma una cuestión interna de gestión de información. OpenAI ha prescindido esta semana de tres empleados después de concluir que habían manejado información sensible fuera de los procedimientos establecidos. Parte de los datos habría sido compartida con una organización externa dedicada a evaluar sistemas de IA, según información publicada por Bloomberg. La empresa no ha detallado públicamente el contenido afectado ni existe información que establezca una relación directa entre esas salidas y los incidentes protagonizados por los agentes.
Para las empresas que comienzan a desplegar agentes con acceso a aplicaciones corporativas, repositorios, navegadores o herramientas de desarrollo, los episodios dejan una consecuencia operativa inmediata. La seguridad ya no depende únicamente de comprobar qué respuestas genera un modelo, sino de limitar técnicamente qué puede hacer, con qué credenciales, sobre qué sistemas y durante cuánto tiempo. A medida que los agentes ganan capacidad para ejecutar tareas completas, esos controles pasan a formar parte de la arquitectura de ciberseguridad y gobierno de la organización.
