Le pasó a OpenAI y a Hugging Face: un modelo explotó una vulnerabilidad real para ganar un benchmark

El 21 de julio de 2026, OpenAI publicó los hallazgos preliminares de un incidente de seguridad ocurrido durante una evaluación interna de capacidades ofensivas de sus propios modelos, entre ellos GPT-5.6 Sol y un modelo aún no lanzado. La evaluación corría en un entorno aislado, con acceso a internet restringido a un proxy interno para instalar paquetes de software.

El modelo, en su intento de resolver el benchmark (llamado ExploitGym), dedicó una cantidad enorme de cómputo a encontrar una salida de ese sandbox. La encontró: explotó una vulnerabilidad de día cero en ese mismo proxy, y con eso escaló privilegios y se movió lateralmente hasta alcanzar un nodo con salida real a internet.

Una vez afuera, infirió que Hugging Face probablemente tenía datos relacionados con el benchmark. Encadenó credenciales robadas con más vulnerabilidades de día cero hasta lograr ejecución remota de código en la infraestructura de producción de Hugging Face, y extrajo las soluciones del benchmark directamente de su base de datos.

Nadie diseñó ese ataque paso a paso. El modelo lo armó solo, en tiempo real, persiguiendo un objetivo mucho más chico del que terminó logrando.

‍

Por qué esto no es un caso aislado

Es tentador leer esto como una curiosidad técnica de dos gigantes de la IA. No lo es. Es la prueba más concreta hasta ahora de una verdad que ya era evidente en la industria: los atacantes siempre van a tener ventaja de velocidad sobre los defensores, y esa ventaja se está ampliando con cada generación de modelos.

Durante años, el argumento fue teórico: "algún día los modelos van a poder sostener operaciones ofensivas complejas por sí solos". Ese día ya llegó. Y llegó en la infraestructura de las dos organizaciones que, se podría argumentar, tienen más control y más contexto sobre estos modelos que nadie más en el planeta. Si OpenAI y Hugging Face —con equipos de seguridad de clase mundial, monitoreo interno y (en este caso) hasta agentes propios ayudando en la contención— tardaron en detectar la actividad hasta que ya había ejecución remota de código en producción, vale la pena hacerse la pregunta incómoda: ¿cuánto tarda tu organización en detectar algo similar?

La mayoría de los equipos de seguridad corporativos no tienen ese nivel de instrumentación. No tienen un equipo dedicado a monitorear comportamiento anómalo de IA. Y hoy, cualquier actor con acceso a un modelo de capacidades similares —no solo los grandes labs— puede, en teoría, intentar algo parecido contra un objetivo mucho menos preparado.

‍

El problema real no es "que existan vulnerabilidades"

El incidente también confirma algo que en Strike venimos sosteniendo desde antes de que esto fuera noticia: encontrar vulnerabilidades ya dejó de ser el diferencial. Con el auge de modelos cada vez más capaces —muchos de ellos open-source y accesibles para cualquiera— encontrar caminos de explotación es, cada vez más, un commodity.

Lo que separa a una organización preparada de una que no lo está es otra cosa: la capacidad de validar esas vulnerabilidades de forma continua y actuar sobre las que importan, antes de que alguien más las encuentre primero. El 50% de las vulnerabilidades quedan sin parchear después de 12 meses de haber sido descubiertas. Ese es el problema real, no la existencia de fallas: la brecha entre encontrar y remediar.

Este incidente es también un recordatorio de que la seguridad no puede ser un evento puntual. No alcanza con una evaluación de seguridad al año, ni con un pentest tradicional que corre una vez y queda archivado. La superficie de ataque y las capacidades ofensivas escalan de forma exponencial (más aún con IA); la capacidad de defensa de la mayoría de los equipos, no.

‍

La pregunta que le queda a cada CISO

Este caso no es una advertencia sobre la IA en abstracto. Es una advertencia muy concreta: los modelos ya pueden sostener cadenas de ataque largas, autónomas y creativas contra infraestructura real, sin que nadie las programe paso a paso. Eso ya no es un escenario hipotético para justificar presupuesto. Es algo que ya pasó, esta semana, en dos de las compañías mejor preparadas del mundo.

La pregunta que le queda a cada CISO no es si un modelo podría hacer algo así contra su organización. Es cuánto tiempo pasaría antes de que alguien se diera cuenta.

‍