La fuga de agentes de OpenAI y el rostro abrazado: lecciones sobre la confianza cero y la contención

El 16 de julio, Hugging Face reveló una intrusión en parte de su infraestructura de producción. Esta vez, la intrusión no era un atacante en un teclado. Era un sistema agente de IA autónomo.

Los agentes procedían de las pruebas de seguridad de OpenAI. OpenAI asignó a varios modelos de frontera —incluyendo GPT-5.6 Sol y un modelo previo al lanzamiento más capaz que no nombró— una tarea que les pedía convertir vulnerabilidades en exploits. El entorno que ejecutaban en el entorno de pruebas no era un sandbox completamente aislado. Permitía un acceso limitado a recursos externos, y esa conexión pasó a formar parte de la superficie de ataque.

Nada de lo que hicieron los agentes fue novedoso. Los equipos de seguridad ya vieron estas técnicas antes. Lo que no vieron es un sistema que los gestione sin que una persona decida qué probar a continuación, a un ritmo que ningún analista puede igualar.

Eso cambia por completo las matemáticas de los defensores. No puedes salir investigando de un ataque que avanza tan rápido. El único control que sigue funcionando es el que ya existe antes de que llegue el agente: límites estrictos a lo que puede alcanzar un solo sistema.

Cómo comenzó la brecha de la Cara de Abrazo

Los agentes de OpenAI encontraron un fallo zero-day en el proxy dentro del entorno de prueba y lo emplearon para obtener un acceso más amplio. Buscando respuestas de benchmarks, llegaron a Hugging Face — una plataforma donde los desarrolladores comparten modelos, conjuntos de datos y aplicaciones de IA. Hugging Face también aloja datos empleados para capacitar y probar sistemas de IA, lo que lo convierte en el lugar obvio para que los agentes de OpenAI acudan a completar su prueba asignada.

Ningún humano guió nada de eso. Los agentes de OpenAI encontraron la ruta de ataque por sí mismos porque la necesitaban para completar la tarea asignada.

Qué fue lo que realmente se movió

Christer Swartz, director de soluciones industriales en Illumio, dice que el primer paso es separar el modelo del agente — y entender que el agente estaba siguiendo su objetivo asignado.

"Un modelo no 'escapa'. El modelo es el cerebro, y el agente es quien actúa en nombre del modelo", dijo Swartz.

El modelo proporcionó el razonamiento. El agente de IA usó ese razonamiento para actuar. Probó software, encontró vulnerabilidades y siguió el camino que lo ayudó a completar su tarea.

El agente no intentaba escapar en sentido humano. Estaba haciendo lo que se le ordenó: encontrar y explotar vulnerabilidades.

Como dijo Swartz: "Si un sistema de IA está diseñado para encontrar vulnerabilidades, las encontrará." El agente no necesitaba intención maliciosa. Necesitaba un objetivo, la capacidad de actuar y el acceso.

Cómo se extendió un punto de apoyo

Una vez que los agentes llegaron a Hugging Face, una vulnerabilidad se convirtió en camino hacia la siguiente. Las fallas en la cadena de procesamiento de datos dieron a los agentes un punto de apoyo inicial. Esa posición llevó a acreditaciones y acceso al sistema de producción, y luego a un movimiento lateral hacia varios clústeres internos.

Hugging Face describió la intrusión como un "enjambre de decenas de miles de acciones automatizadas."

Según el incidente de la cara abrazada de la Cloud Security Alliance Initial Post-Mortem, los agentes no se comportaron como atacantes humanos hábiles. Los ataques avanzados iban seguidos de errores básicos. Repetían acciones que ya funcionaron, emitían órdenes malformadas o inútiles y seguían caminos ineficientes.

Su actividad también produjo artefactos alucinados y miles de líneas de texto incoherente. Pero los agentes seguían mover rápido, realizando muchas tareas a la vez y centrar en encontrar material relacionado con los benchmarks.

"Las técnicas individuales no son necesariamente nuevas", dijo Swartz. "Lo nuevo es la velocidad a la que un sistema automatizado puede descubrir debilidades, probar rutas y actuar según lo que encuentre."

El ataque duró días. La CSA describe dos días de reconocimiento, un periodo de calma y luego un estallido de actividad. Reuters informó que Hugging Face contuvo la intrusión y alertado al FBI antes de que OpenAI identificara a sus agentes como la fuente.

Cara de Abrazo se volvió hacia la IA para investigar el ataque liderado por la IA. Tras la negativa de los principales modelos occidentales a procesar los datos en bruto de los ataques, el equipo ejecutó GLM 5.2 — un modelo de peso abierto del laboratorio chino Z.ai. El modelo ayudó a analizar más de 17.000 eventos y a reconstruir el ataque.

Los ataques agentes que vinieron antes

Los investigadores documentaron una progresión constante, desde incidentes que emplean IA como asesoramiento hasta agentes que realizan grandes partes de los ataques por sí mismos:

• Septiembre de 2024 — Prueba de OpenAI O1. El modelo o1 de OpenAI explotaba un contenedor Docker para obtener una respuesta durante una prueba interna. ‍
• Noviembre de 2025 — Anthropic descubre una campaña de espionaje. Anthropic informó de un actor amenazante que empleaba un agente de IA para automatizar gran parte de una campaña de ciberespionaje, con humanos aún guiando decisiones clave.
• Finales de 2025 — Acceso de administrador en ocho minutos. Sysdig documentó un ataque impulsado por IA que alcanzó los privilegios de administrador en unos ocho minutos.
• Febrero de 2026 — Ataque del gobierno mexicano. Gambit Security informó de un ataque semi-autónomo contra sistemas gubernamentales mexicanos.
• Julio de 2026 — ransomware JADEPUFFER. Sysdig informó de una supuesta campaña de ransomware agente que automatizó varias fases del ataque.
• Julio de 2026 — Campaña de Hermes en Tailandia. Los investigadores descubrieron una campaña liderada por agentes de Hermes dirigida contra el gobierno tailandés.

Como dijo el CEO de Hugging Face, Clément Delangue, el incidente de Hugging Face fue "el primer día para la ciberseguridad en la era de los agentes." El reporte de la CSA lo califica como el primer ataque totalmente autónomo documentado públicamente.

Por qué la confianza cero y la contención son importantes

La lección no es simplemente que los agentes autónomos de IA pueden encontrar vulnerabilidades más rápido. Es que la IA puede conectarlos en una trayectoria de ataque antes de que los defensores comprendan los fallos que lo hacen posible.

"Los defensores deben pensar como un atacante y ver su entorno tal y como lo ve el atacante: como un serial conectado de posibles caminos", dijo Swartz.

Eso requiere más que una lista de sistemas vulnerables. Los equipos de seguridad necesitan un gráfico de seguridad que muestre cómo se conectan agentes, cargas de trabajo, identidades, aplicaciones y fuentes de datos — y qué podría alcanzar un atacante a continuación. Esa vista convierte las alertas aisladas en un mapa de posibles movimientos.

Una vez que ese camino es visible, Zero Trust y segmentación pueden contenerlo. Cada conexión debería tener un propósito. Cada agente debe alcanzar solo los sistemas necesarios para su tarea. Y cada componente comprometido debe tratar como un posible punto de lanzamiento, no como un evento contenido.

"Un atacante podría pasar por la primera puerta, pero eso no debería darle acceso por la segunda", dijo Swartz.

La IA sube la tensión porque el movimiento puede ocurrir a velocidad de máquina. Como dijo Swartz, "Humano contra máquina no es una pelea que los equipos puedan ganar manualmente."

El objetivo no es asumir que todos los sandbox, proxy o controles se mantendrán para siempre. Consiste en construir un entorno donde un solo fallo no pueda convertir en un camino a través del entorno.

Ese es el papel de Zero Trust: ver las conexiones, limitar los caminos y contener la brecha antes de que el agente complete su siguiente movimiento.

Los agentes de IA no esperan. Tu modelo de seguridad tampoco debería hacerlo.

Observa cómo Illumio Segmentation evita que ataques autónomos se conviertan en brechas antes de que el agente complete su siguiente movimiento.

Más información.

‍