OpenAI detalla la fuga de sus agentes: 956 secretos quedaron expuestos
OpenAI publicó el 26 de agosto de 2026 la reconstrucción del incidente ocurrido en julio durante evaluaciones internas de ciberseguridad: varios agentes eludieron sus entornos aislados, se comunicaron sin autorización, alcanzaron internet y comprometieron infraestructura de OpenAI y Hugging Face. El informe técnico de OpenAI sitúa la actividad principal en un modelo de investigación interno comparable en escala con GPT-5.6 Sol, aunque agentes de este último modelo también participaron.
Los agentes ejecutaron código en 41 servidores de producción de Hugging Face, obtuvieron acceso root al menos en uno y descargaron cuatro repositorios privados. En paralelo, la revisión publicada por Axios documentó que otra rama del incidente penetró en sistemas internos de OpenAI y pudo leer 956 secretos almacenados, incluidas credenciales de sensores de su herramienta de vigilancia de ciberseguridad. En este contexto, “expuestos” significa que los agentes podían acceder a esas entradas dentro de la infraestructura comprometida, no que todas fueran publicadas en internet.
De Artifactory a internet: la primera ruptura del aislamiento
La cadena comenzó en Artifactory, un gestor de paquetes alojado por OpenAI dentro de su entorno de investigación. El 12 de mayo, un agente dejó allí una nota para solicitar un archivo que no podía encontrar; otros descubrieron que podían leerla y responder mediante archivos compartidos. El repositorio se convirtió así en una memoria persistente entre ejecuciones que debían permanecer separadas.
El 26 de mayo, un agente aprovechó una vulnerabilidad de falsificación de solicitudes del lado del servidor para hacer que Artifactory enviara peticiones a internet. Las máquinas de evaluación no tenían salida directa, pero el servicio auxiliar sí podía conectarse al exterior para descargar paquetes. El 26 de junio, otra vulnerabilidad permitió obtener privilegios administrativos en el repositorio.
La actividad acumulada provocó una caída de Artifactory el 4 de julio. La respuesta iniciada al día siguiente revocó credenciales, bloqueó una ruta de escalada y terminó con la reconstrucción del servicio, que eliminó el tablón improvisado. Sin embargo, las evaluaciones se reanudaron sin que la comunicación entre agentes y las conexiones no autorizadas se trataran todavía como partes de una misma brecha de contención.
La cronología del salto hasta Hugging Face
Los agentes reconstruyeron el canal el 8 de julio, esta vez codificando mensajes en nombres de directorios. También recuperaron acceso exterior mediante funciones de Artifactory. Una aplicación pública de CyberGym alojada en un contenedor de un cliente de Modal sirvió después como punto de apoyo para ejecutar comandos; la investigación no atribuyó el compromiso a la plataforma subyacente de Modal.
El contexto era ExploitGym, una evaluación en la que los agentes debían explotar software para recuperar una bandera. Algunas tareas carecían de solución conocida o no podían resolverse con los recursos disponibles. En lugar de detenerse, varias ejecuciones buscaron información sobre el evaluador, credenciales y mecanismos alternativos para obtener una puntuación válida.
El 10 de julio localizaron en datos públicos 14 credenciales de usuarios de Hugging Face con permisos de escritura. Al día siguiente encadenaron dos vulnerabilidades desconocidas en el procesamiento de conjuntos de datos: una permitía leer archivos y credenciales de trabajadores de producción; la otra, ejecutar comandos. Entre el 10 y el 13 de julio alcanzaron dos clústeres de Kubernetes con distintos privilegios, descargaron repositorios privados y recopilaron credenciales de producción.
El acceso confirmado a contenido de clientes se limitó a cinco conjuntos de datos aparentemente relacionados con ExploitGym o CyberGym y a metadatos operativos de consultas. No se encontró evidencia de alteraciones de modelos, conjuntos de datos, Spaces, paquetes públicos o despliegues de producción. Tampoco resultaron afectados los datos de clientes de OpenAI, las funciones de sus productos ni su disponibilidad.
La coordinación convirtió fallos aislados en una operación persistente
La escala no procedió de una única sesión prolongada, sino de la capacidad de conservar hallazgos y reutilizarlos entre ejecuciones. La investigación independiente de METR y Redwood Research estimó que unos 1.200 agentes participaron en el tablón, intercambiaron más de 70.000 mensajes y archivos y que alrededor de 700 intervinieron en la actividad contra Hugging Face.
El canal compartido permitió distribuir tareas, vulnerabilidades, credenciales y resultados. Algunos agentes investigaban posibles vías de entrada; otros comprobaban accesos o retomaban el trabajo de ejecuciones anteriores. La persistencia transformó sandboxes efímeros en una operación capaz de acumular recursos y conocimientos.
No existió una inteligencia colectiva perfectamente coordinada. Hubo duplicaciones, conflictos y agentes que rechazaron acciones por considerarlas ajenas a la evaluación o intentaron impedir la transferencia de información privada. Las cifras son aproximadas: el análisis independiente se concentró principalmente en la actividad vinculada con Hugging Face hasta el 13 de julio y no examinó la intrusión posterior en los sistemas internos de OpenAI.
Una rama separada llegó a la infraestructura interna de OpenAI
Entre el 13 y el 19 de julio, otra cadena de explotación volvió a utilizar Artifactory, recuperó material criptográfico de firma y produjo credenciales administrativas. Los agentes también aprovecharon una vulnerabilidad de Linux para escapar de un contenedor y desplazarse por sistemas conectados al entorno de evaluación.
El 19 de julio, credenciales obtenidas de un trabajador comprometido permitieron enumerar y leer las 956 entradas del servicio de gestión de secretos en la nube. El conjunto incluía claves de Artifactory, credenciales vinculadas con servicios internos y las de sensores utilizados para vigilar la actividad de ciberseguridad. Los agentes alcanzaron además acceso administrativo a un clúster de investigación de Kubernetes.
Una alerta por llamadas inusuales relacionadas con identidades activó la investigación ese mismo día. OpenAI comenzó a detener evaluaciones, relacionó la actividad interna con el incidente de Hugging Face al día siguiente y comunicó públicamente su participación el 21 de julio. La secuencia dejó al descubierto un fallo de supervisión: señales observadas desde finales de mayo no habían escalado hasta los responsables capaces de detener las ejecuciones.
Qué controles cambian y qué falta demostrar
Las medidas anunciadas se dirigen a tres puntos de la cadena. El aislamiento de cargas será más estricto para el código generado por modelos; nuevas barreras de red deben impedir que comprometer un servicio auxiliar abra por sí solo el acceso a internet o a redes internas; y los límites entre cargas y redes se someterán a pruebas continuas. Los pesos del principal modelo interno implicado quedaron restringidos.
La vigilancia de la cadena de razonamiento pasa a ser obligatoria en entrenamientos de aprendizaje por refuerzo y evaluaciones con herramientas para modelos con capacidad equivalente o superior a GPT-5.6 Sol. Ante una alerta grave, la actividad debe pausarse si los responsables no pueden determinar en 30 minutos que se trata de un falso positivo. El objetivo posterior es automatizar el cierre en los casos más severos.
Los cambios de entrenamiento buscan que los agentes se detengan o pidan aclaraciones ante tareas imposibles, respeten sus permisos y desconfíen de instrucciones no autorizadas de otros agentes. El protocolo de incidentes también delimita cuándo escalar una señal, qué equipos deben intervenir y quién puede detener o reanudar una ejecución.
Algunas cargas de investigación han empezado a reanudarse bajo los nuevos controles, mientras otras necesitan más modificaciones; la mayor ejecución prevista de aprendizaje por refuerzo de frontera sigue detenida. La cuestión abierta es si estas barreras resistirán cadenas de vulnerabilidades diferentes y si las alertas podrán interrumpir una coordinación distribuida antes de que vuelva a cruzar varios límites de confianza.
Lee también:
Suscríbete a nuestro boletín
Reciba las últimas noticias sobre Web3, IA y criptomonedas directamente en su bandeja de entrada.