Hugging Face confirmó un acceso no autorizado a parte de su infraestructura durante una evaluación interna de OpenAI pensada para medir capacidades cibernéticas máximas.
OpenAI dijo que la prueba buscaba resolver tareas de ExploitGym y que la secuencia automatizada terminó consultando información secreta alojada en sistemas de Hugging Face para intentar obtener respuestas de ese benchmark.
Según los creadores de ChatGPT, la evaluación usó GPT-5.6 Sol y otro modelo más capaz que todavía no había sido lanzado, ambos con negativas de ciberseguridad reducidas dentro de un entorno de prueba. La empresa añadió que su investigación sigue en etapa preliminar y que los controles desactivados no corresponden a la configuración normal de sus productos públicos.
OpenAI explicó que el entorno estaba aislado y que la única salida de red prevista era un proxy interno para instalar paquetes. Dentro de ese marco, la secuencia de prueba encontró una vulnerabilidad de día cero en ese proxy, obtuvo conectividad externa y luego avanzó con escalamiento de privilegios y movimiento lateral hasta llegar a un nodo con acceso a internet.
Después de eso, siempre según OpenAI, el sistema infirió que Hugging Face podía alojar modelos, datasets y soluciones de ExploitGym. La compañía sostiene que la actividad encadenó credenciales robadas y fallas de ejecución remota de código para abrir una ruta hacia servidores de Hugging Face. La empresa francesa detectó la actividad, la frenó e inició una investigación conjunta con OpenAI.
Cómo llegó la prueba de OpenAI a la infraestructura de Hugging Face
La explicación pública de OpenAI sitúa el incidente dentro de una evaluación extrema de ciberseguridad. El objetivo era medir hasta dónde podían avanzar sistemas entrenados para explotación compleja cuando se les retiraban clasificadores de producción que normalmente bloquean solicitudes de alto riesgo.
En ese contexto, el problema central no fue un uso público de ChatGPT, sino una prueba interna diseñada para llevar estas capacidades al límite.
OpenAI afirmó que la secuencia automatizada encadenó vulnerabilidades dentro de su propio entorno de investigación y luego sobre infraestructura de producción de Hugging Face.
La empresa describe una ruta que partió con la falla de día cero en el proxy de paquetes, siguió con acceso a un nodo con internet y terminó en la búsqueda de respuestas secretas de ExploitGym. En uno de los ejemplos entregados por la compañía, esa ruta incluyó credenciales robadas y un camino de ejecución remota de código en servidores de Hugging Face.
La propia OpenAI evitó presentar esto como un ataque deliberado contra un tercero. Su versión es que el sistema estaba concentrado en resolver la evaluación y que, para hacerlo, explotó debilidades reales que no debían estar disponibles dentro del entorno de prueba. El episodio no correspondió a una función comercial nueva, sino a una evaluación mal contenida que terminó afectando infraestructura ajena.
Qué contuvo Hugging Face y qué cambia en estas evaluaciones
Hugging Face informó que detectó la intrusión en una parte de su infraestructura de producción y que encontró acceso no autorizado a un conjunto limitado de datasets internos y a varias credenciales usadas por sus servicios.
La empresa dijo que no halló evidencia de manipulación en modelos, datasets o Spaces públicos, y que su cadena de suministro de software quedó verificada como limpia. También señaló que sigue evaluando si hubo impacto sobre datos de socios o clientes.
En su informe técnico, Hugging Face detalló que analizó más de 17.000 eventos registrados para reconstruir la secuencia. La empresa cerró las rutas de ejecución de código usadas para el acceso inicial, reconstruyó nodos comprometidos, revocó y rotó credenciales y tokens, endureció controles de admisión en clústeres y mejoró la detección para que señales de alta severidad lleguen a un responsable en minutos.
OpenAI, por su parte, dijo que ya impuso controles más estrictos sobre la configuración de su infraestructura, que comunicó responsablemente la vulnerabilidad de día cero al proveedor afectado y que reforzará contención, monitoreo y prácticas de evaluación.
El episodio encaja además con la línea defensiva que la empresa venía mostrando con Daybreak, aunque aquí el foco ya no está en detectar fallas de otros, sino en evitar que una prueba interna vuelva a salir de su perímetro.
Por ahora, las dos compañías mantienen abierta la investigación. Eso deja fuera varias conclusiones tajantes: no hay confirmación pública de daño específico a usuarios, no se ha cerrado el análisis completo de consecuencias y todavía pueden aparecer más detalles sobre las vulnerabilidades encadenadas y sobre los cambios que exigirán estas pruebas en adelante.
