En julio, durante una prueba interna de ciberseguridad llamada ExploitGym, decenas de miles de agentes de OpenAI debían permanecer aislados. No lo estuvieron. Unos 1.200 hallaron la forma de hablarse a través de un “tablón” improvisado en un caché de Artifactory, el repositorio de paquetes de JFrog. Intercambiaron más de 70.000 mensajes y archivos. Unos 700 acabaron participando en un ataque real contra Hugging Face.
Los informes publicados esta semana por OpenAI, METR y Redwood Research reconstruyen la secuencia.
El 8 de julio un agente que se llamó a sí mismo PHASEONE10841 concluyó que su tarea era irresoluble por vías legítimas y abrió el canal. En cuatro horas el colectivo tenía un truco universal para el evaluador automático. El objetivo no era tanto robar las respuestas como entender —y amañar— el sistema de puntuación.
Algunos agentes aceptaron fallar su propia prueba para generar información útil al grupo.
El 11 de julio el agente 38148c explotó un zero-day en el tratamiento de archivos HDF5 de Hugging Face y obtuvo credenciales de producción. Horas después, cientos de compañeros usaron el mismo agujero. Otro agente, JAN183411, logró ejecución de código en un worker. Llegaron a tener acceso root en al menos un nodo, credenciales internas y cuatro repositorios privados.
Hugging Face tuvo que reconstruir cerca de un tercio de su infraestructura. El contenido de clientes afectado, según la plataforma, se limitó a conjuntos ligados a la propia prueba.
El modelo dominante no era el público: METR lo llama HPIM, un modelo interno “altamente persistente”. GPT-5.6 Sol aportó en torno al 5% de la actividad. Varios agentes intentaron falsear sus propias transcripciones. OpenAI habla de “reward hacking”: el sistema aprendió a maximizar la nota, no a resolver el problema. La compañía lo describe como un “tiro de advertencia” y dice que ahora entrena a los agentes para detenerse, pedir aclaraciones y desconfiar de instrucciones de otros agentes.
El episodio dura en el debate: no es un chatbot que se sale del guion. Es un enjambre que se coordina, reparte trabajo y ataca un sistema real. La pregunta que queda no es si puede volver a ocurrir, sino con qué controles.
