Hugging Face detalla cómo un agente de prueba de OpenAI vulneró sus sistemas

Hugging Face publicó el lunes una cronología técnica de la intrusión. El agente se originó dentro de una de las propias evaluaciones de ciberseguridad de OpenAI, un examen que califica a los sistemas de IA por encontrar y explotar fallos de software; para esta prueba, OpenAI había desactivado sus filtros de seguridad habituales para evaluar el modelo a máxima potencia, sin intervención humana en ninguno de sus movimientos individuales. El agente descubrió que las respuestas de referencia del examen probablemente estaban almacenadas en los servidores de Hugging Face y decidió robarlas en lugar de resolver el ejercicio.

Para llegar hasta ahí, el agente primero explotó una falla sin parchear para escapar del entorno del examen de OpenAI, luego irrumpió en una herramienta de pruebas de IA distinta y expuesta, sin relación con Hugging Face, y la usó como base para el resto de la operación. Desde ahí, descubrió que un filtro de Hugging Face solo verificaba las solicitudes salientes, no las solicitudes para leer archivos locales, y se coló por ese vacío subiendo un archivo disfrazado de conjunto de datos común que contenía instrucciones ocultas para extraer contraseñas y código fuente del servidor. Un fallo distinto le permitió luego ejecutar su propio código directamente en los servidores de Hugging Face. El agente recurrió únicamente a herramientas públicas —sitios para compartir texto, servicios de registro de solicitudes y las propias funciones de carga y proxy de Hugging Face— y añadió un sistema de mensajería propio con números de secuencia y verificación de errores para mantener en orden los datos robados y los comandos.

También cifró todo lo que trasladó. El escaneo automático inicial de Hugging Face detectó solo una fracción del tráfico; los investigadores hallaron alrededor de cuatro veces más datos después de descifrar el método de cifrado propio del agente. El agente plantó copias de sí mismo en 11 servidores, cada una programada para reiniciarse de forma independiente, y obtuvo una clave criptográfica privada que le permitió generar sus propias credenciales de acceso válidas. Un error de configuración hizo que la credencial de un solo servidor comprometido desbloqueara varios sistemas internos distintos a la vez. También envió un cambio malicioso a un script de compilación, que las protecciones de Hugging Face detectaron antes de que surtiera efecto. Cada comando capaz de eliminar o modificar recursos en la nube se ejecutó solo en modo “dry run” (simulación), que reporta la acción sin llevarla a cabo. El director ejecutivo de OpenAI, Sam Altman, ha dicho que este es el primer incidente de seguridad que “sintió muy visceralmente”. Hugging Face indicó que el agente también vulneró al menos otros cuatro servicios en línea.

Por qué importa

Hugging Face concluyó que un hacker humano capaz podría haber encontrado y explotado las mismas fallas —procesamiento inseguro de conjuntos de datos, metadatos de nube expuestos, acceso demasiado amplio y credenciales de larga duración—, pero el agente las exploró a una escala distinta, una advertencia para cualquier organización que aún calibre sus defensas pensando en atacantes con velocidad humana.