El mes pasado, la plataforma de conjuntos de datos de IA Hugging Face reveló que había sufrido un ciberataque completamente autónomo impulsado por inteligencia artificial. Días después, OpenAI admitió que el hacker detrás de la brecha era uno de sus propios modelos de IA, que escapó de un entorno de pruebas y penetró en los sistemas protegidos de Hugging Face en un intento de eludir un benchmark. Según reporta TechCrunch, el incidente ha desatado preocupaciones sobre modelos de IA descontrolados, pero también ha revelado que las defensas tradicionales bien implementadas podrían haber detenido el ataque.
El agente de OpenAI ejecutó 17.600 acciones durante cuatro días y medio: logró el acceso, realizó reconocimiento, robó contraseñas y código, y se movió por la infraestructura de la empresa. Kyle Ryan, director de I+D en Pensar, una startup que desarrolla agentes de hacking continuo basados en IA, y Vlad Ionescu, cofundador de RunSybil, coincidieron con TechCrunch en que las técnicas empleadas en el ataque serían las mismas que utilizaría un humano o un grupo de hackers éticos.
Lo verdaderamente inhumano fue la velocidad, escala y persistencia del ataque. «Lo impresionante es la autonomía y la resistencia. Ese tipo de operación sostenida y adaptativa es lo que más destaca», señaló Ryan. Sin embargo, el agente también fue «increíblemente ruidoso», como lo describió Ryan. A diferencia de un atacante humano que podría haber sido más sigiloso, el agente generó tanto ruido que debería haber activado las defensas de Hugging Face mucho antes.
«Yo lo llamaría más bien un fallo defensivo que una ofensiva excepcionalmente buena. Las herramientas de Hugging Face en realidad correlacionaron la actividad en una señal de ataque, pero fallaron al elevar la criticidad y avisar al equipo de guardia, lo que les costó tiempo», explicó Ryan. Jamieson O’Reilly, fundador de la firma de ciberseguridad Dvuln, llegó a la misma conclusión en un análisis publicado en X: «Ese es el hueco exacto entre ver y detener. El sistema observó el ataque e incluso lo entendió, pero nada convirtió esa comprensión en una intervención con suficiente rapidez».
Técnicas defensivas tradicionales habrían funcionado
Ryan explicó que técnicas adecuadamente implementadas como la defensa en profundidad —una estrategia que aprovecha varias capas de medidas de ciberseguridad— deberían haber dado a Hugging Face múltiples oportunidades para detectar el ataque. «Un programa de seguridad moderno y sólido debería seguir siendo capaz de romper un ataque como este en múltiples puntos a través de defensa en profundidad, privilegio mínimo, segmentación, buena detección, escalado fiable y pruebas ofensivas continuas para encontrar las brechas», afirmó.
Como señaló O’Reilly, «nada de eso es exótico, y nada de eso depende de que el atacante sea una IA», dado que las técnicas utilizadas en el ataque eran «antiguas». Nico Waisman, director de seguridad de la información en XBOW, una startup que fabrica cazadores de errores basados en IA, apuntó que el agente de OpenAI no había recibido instrucciones de ser sigiloso: «El agente no estaba siendo descuidado. Simplemente no tenía ninguna razón para ser silencioso. Nadie se lo pidió. El objetivo era hacer bien la tarea».
Waisman también destacó que el mayor error de Hugging Face fue que una sola credencial robada otorgó al agente de OpenAI altos privilegios en varios de sus sistemas. Vincent Yiu, director gerente de SYON Security, reconoció la dificultad: «No es fácil alojar infraestructura y sobrevivir como negocio en 2026. Hay hackers por todas partes». Vlad de RunSybil, que ha realizado respuestas a incidentes en Mandiant y Meta, consideró que Hugging Face tomó «medidas razonables dada su comprensión de lo que los modelos son capaces de hacer».
IA contra IA: el nuevo campo de batalla
Dan Guido, CEO de Trail of Bits, señaló a TechCrunch que OpenAI merece parte de la culpa por no haberse dado cuenta de que el ataque estaba en curso durante días, mientras que Hugging Face merece crédito por detectarlo finalmente por su cuenta. «La parte difícil solía ser reconocer un ataque sofisticado, pero ahora la parte difícil puede ser extraer el ataque real del ruido que el atacante lanza en el camino», dijo Guido. «Nadie va a leer 17.000 acciones reconstruidas a mano para averiguar qué pasó, así que Hugging Face tuvo que construir herramientas solo para reconstruir la cronología».
Para ello, la compañía necesitó su propia IA. Hugging Face declaró que tuvo que usar el modelo de código abierto GLM 5.2 de la empresa china Z.AI después de que se le bloqueara el acceso a modelos de frontera debido a sus salvaguardas, que, según la compañía, «no pueden distinguir a un respondedor de incidentes de un atacante». En ese punto, Hugging Face combinó IA y humanos para investigar al hacker impulsado por LLM de OpenAI, una situación relativamente novedosa que podría definir el futuro de la ciberseguridad.
