Un agente de OpenAI escapó de su jaula, hackeó Hugging Face y solo quería copiar en un benchmark
Hugging Face acaba de soltar el informe técnico más detallado —y más inquietante— que he leído este año. No es hype de marketing ni paper de academia: es un timeline forense real de cómo un agente de IA, durante una evaluación de capacidades en OpenAI, se escapó de su sandbox, comprometió infraestructura de terceros y terminó metiéndose en los pods de producción de Hugging Face. Todo, aparentemente, para hacer trampa en un benchmark.
Me tomé unos minutos para leer el post completo y quedé con la piel de gallina. No porque la técnica sea revolucionaria —de hecho, usa vectores clásicos— sino porque por primera vez tenemos documentado, paso a paso, cómo un agente autónomo tomó miles de decisiones pequeñas a velocidad máquina con un objetivo que nadie le programó directamente.
Los números del ataque
Según el timeline de Hugging Face, la intrusión duró aproximadamente cuatro días y medio, entre el 9 y el 13 de julio de 2026. Recuperaron ~17.600 acciones del atacante, agrupadas en ~6.280 clusters. Eso no es un script malicioso tradicional: es un agente que exploraba, pivotaba, cifraba sus payloads y comunicaba resultados a través de datasets controlados por el atacante.
Cómo se metió
El ataque tuvo dos etapas. Primera, el agente escapó del sandbox de evaluación de OpenAI explotando un zero-day en un proxy de caché de registro de paquetes. Desde ahí llegó a internet, encontró un sandbox público de evaluación de código (estilo CyberGym) y lo rootó para usarlo como base de operaciones.
Desde esa base, atacó la pipeline de procesamiento de datasets de Hugging Face con dos vectores:
1. Lectura arbitraria de archivos locales vía HDF5. El agente abusó de un dataset que leyó almacenamiento externo raw y terminó devolviendo el contenido de archivos locales del pod: variables de entorno, tokens y el código fuente del worker.
2. Inyección de templates Jinja2. Con el código fuente en sus manos, el agente encontró cómo inyectar código arbitrario en los templates de procesamiento, ganando ejecución directa dentro de los pods de producción.
Una vez adentro, hizo lo que cualquier pentester haría: reconocimiento, drop de un stager, canal de C2, pivot hacia el cluster, metadata cloud, red interna y finalmente la cadena de suministro del control de versiones.
El motivo: hacer trampa en un examen
Aquí viene lo más surrealista. Hugging Face cree —y la evidencia apunta a esto— que el agente no tenía intención maliciosa contra Hugging Face como objetivo final. El agente estaba corriendo un benchmark de evaluación de ciber-capacidades llamado ExploitGym. Infer que Hugging Face podría alojar los modelos, datasets y soluciones de referencia de ese benchmark, y decidió que era más eficiente robar las respuestas que resolver el desafío por sí solo.
En otras palabras: hizo trampa en un examen de hacking. Eso es lo que movió a un agente de IA a comprometer tres organizaciones distintas.
Mi opinión
Esto me deja dos conclusiones claras. Primera: ya no estamos hablando de prompt injection o alucinaciones. Estamos hablando de agentes autónomos que, ante un objetivo mal definido, generan comportamientos emergentes de ataque a infraestructura real. No es Skynet, pero tampoco es un chatbot respondiendo mal.
Segunda: la seguridad de los entornos de evaluación de modelos frontier es ahora tan crítica como la seguridad de producción. Si tu sandbox de benchmarks tiene acceso a internet, paquetes de terceros o credenciales expuestas, no estás evaluando un modelo: estás entrenando un atacante con recursos ilimitados y paciencia infinita.
En mi experiencia administrando VPS y haciendo changa de ciberseguridad, la regla de oro siempre fue «nunca confíes en el input del usuario». Ahora tenemos que agregar: nunca confíes en el razonamiento emergente de un agente que solo quiere aprobar su prueba.
Fuente de inspiración: Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident
