Los agentes de inteligencia artificial (IA) de OpenAI intentaron usar otros modelos para sortear pruebas contra robots y acceder de forma reiterada a los sistemas de Hugging Face durante una serie de ataques ocurridos entre el 9 y el 13 de julio de 2026.
La actividad, reconstruida por la startup Parse, amplió las dudas sobre la capacidad de estos sistemas para operar fuera de los límites previstos por sus creadores.
Según The New York Times, la investigación identificó cerca de 1 millón de enlaces de servicios de acortamiento que los agentes generaron para fragmentar información y ejecutar instrucciones complejas.
Esas direcciones permitían reunir piezas de código, resolver captchas (pruebas visuales destinadas a bloquear a los robots) e intentar acceder a mensajes privados del Slack interno de Hugging Face.
OpenAI había revelado en julio que sus agentes se habían descontrolado y habían atacado a la empresa de software. Los nuevos hallazgos describen con mayor detalle las herramientas y procedimientos que los sistemas utilizaron sin intervención humana, pero no permiten establecer cuántos intentos lograron su objetivo.
Cómo los agentes de OpenAI usaron enlaces acortados para ejecutar código
Los ingenieros de Parse rastrearon enlaces públicos en internet después de sospechar que los agentes podían haber usado su plataforma, que transforma sitios web en datos para desarrolladores. Finalmente determinaron que los sistemas no usaron ese servicio, pero hallaron una red de direcciones abreviadas vinculadas al ataque.
El informe fue elaborado por Alex Forman, Mishka Kharlov y Will Tom, de Parse, junto con otros cinco investigadores especializados en inteligencia artificial. A partir de las direcciones encontradas, el grupo reconstruyó cerca de 60.000 programas y mensajes informáticos creados durante la incursión contra Hugging Face.
Los agentes debían permanecer en un espacio informático aislado y sin conexión a internet. Sin embargo, a finales de mayo y nuevamente a comienzos de julio vulneraron una herramienta de instalación de software sin que los investigadores de OpenAI advirtieran lo que ocurría.
Esos ataques permitieron que sistemas que debían permanecer separados crearan un foro para intercambiar mensajes. Les dieron acceso a internet y a sitios web, aunque los investigadores concluyeron que no podían enviar datos directamente a esas páginas.
Para superar esa limitación, los agentes solicitaban a un servicio público de capturas de pantalla que cargara una dirección de internet diseñada para ejecutar código. Como las URL tienen un límite de extensión, dividieron los programas en segmentos y almacenaron cada uno mediante enlaces acortados.
El servicio de captura abría el primer enlace, descargaba una parte del código y obtenía la dirección siguiente hasta completar el programa. Al final, el sistema generaba una imagen similar a un código QR o de barras para transmitir la información que los agentes requerían.
Jeffrey Ladish, director ejecutivo de la organización sin fines de lucro Palisade Research, que colaboró con la investigación, describió la capacidad de adaptación de los modelos.
“Estos agentes hicieron muchísimas cosas. Eran muy listos. Los modelos eran como: ‘Muy bien, tenemos este acortador de enlaces, tenemos estos servicios de captura de pantalla, no hay problema, estamos listos’”, dijo Ladish, según The New York Times.
De que forma modelos intentaron poner en marcha otros sistemas
La operación incluyó intentos de crear cuentas nuevas en Hugging Face, un proceso que exigía superar un captcha. Para ello, los agentes ejecutaron un modelo de inteligencia artificial orientado al reconocimiento de imágenes.
Los especialistas en seguridad han advertido que un sistema capaz de poner en marcha otros modelos puede complicar los esfuerzos humanos para controlarlo o desconectarlo si actúa fuera de supervisión. En este caso, los registros mostraron que los agentes procuraron comunicarse con versiones iniciales de ChatGPT y Claude, además de otros modelos.
Entre los destinatarios de esos mensajes figuraban GPT-2, de OpenAI, y los modelos chinos de código abierto DeepSeek, Kimi y Qwen. Asimismo, intentaron contactar a Haiku 3 y Haiku 4.5, desarrollados por Anthropic, mediante un servicio de chat en línea.
“Creo que ese es el único caso que tenemos de estos modelos intentando ejecutar otro modelo”, afirmó Forman sobre los intentos de los agentes de intercambiar mensajes con otros sistemas de inteligencia artificial.
Los datos examinados por Parse solo muestran los programas y mensajes creados durante el ataque, no sus resultados. Por esa razón, los investigadores no pudieron determinar si los agentes lograron crear cuentas, superar las barreras de acceso, descargar comunicaciones privadas o extraer información de Hugging Face.
Kharlov, fundador de Parse, encontró un diccionario de claves de acceso marcado con la palabra “LOOT”, “botín” en inglés, escrita en mayúsculas. El agente había creado un sistema de puntuación para clasificar credenciales y claves expuestas de Hugging Face y compartir las cinco mejor valoradas con los otros agentes.
Qué dice OpenAI
Un portavoz de OpenAI afirmó que la compañía todavía no había podido revisar la investigación de Parse, pero señaló que la actividad descrita coincidía con hechos que ya estaban bajo análisis interno.
La empresa indicó que prioriza los casos más graves y extiende la pesquisa a conductas de menor gravedad, como el envío masivo de mensajes no solicitados a sitios web.
“Dado el número de casos y la necesidad de verificar cada uno, prevemos que este trabajo y las notificaciones a los terceros afectados llevarán meses”, dijo el portavoz.
