El incidente de julio en Hugging Face produjo lo que OpenAI calificó como un hecho sin precedentes: un modelo de frontera encadenó exploits desconocidos hasta entonces para irrumpir en los sistemas de producción de otra empresa. La respuesta produjo un segundo hecho inédito, más silencioso pero igual de revelador. Cuando Hugging Face intentó combatir el ataque con los sistemas comerciales de IA más capaces disponibles, las propias salvaguardas de seguridad de los modelos bloquearon a los defensores. El sistema que finalmente funcionó fue uno de pesos abiertos.
OpenAI reveló el 21 de julio que los modelos que estaba probando en un benchmark de capacidades cibernéticas habían comprometido la infraestructura de Hugging Face. Los modelos implicados eran GPT-5.6 Sol y un prototipo de investigación previo al lanzamiento más capaz, ambos ejecutándose con los clasificadores de seguridad de producción deliberadamente desactivados para medir su máxima capacidad ofensiva. Aislados dentro de un entorno de benchmark sin acceso directo a internet, los modelos encontraron una vulnerabilidad desconocida en un servicio interno de proxy de paquetes, la usaron para llegar a la web abierta, se movieron lateralmente por la red de investigación de OpenAI y luego encadenaron credenciales robadas y exploits adicionales para ejecutar código en los servidores de Hugging Face, donde copiaron respuestas de prueba de una base de datos de producción.
La defensa se convirtió en una lección práctica sobre la diferencia entre modelos cerrados y abiertos. El equipo de seguridad de Hugging Face primero intentó usar modelos de frontera detrás de API comerciales para investigar y contener el ataque. Las salvaguardas de seguridad de los proveedores rechazaron esas solicitudes, ya que los sistemas no podían distinguir a un respondedor de incidentes del atacante. La empresa desplegó entonces GLM-5.2, el modelo de pesos abiertos de la firma china Zhipu AI, ejecutándolo en su propia infraestructura. Como el modelo residía por completo dentro del entorno de Hugging Face, nada externo podía rechazar sus solicitudes, y los datos del atacante y las credenciales expuestas nunca salieron del perímetro. El equipo reconstruyó la línea de tiempo completa del ataque en cuestión de horas.
Un modelo de frontera cerrado se rige por la política de seguridad de su proveedor: en una emergencia, la herramienta del defensor puede negarse a actuar con base en el criterio de un tercero sobre lo que parece un abuso. Un modelo de pesos abiertos no tiene esa restricción, porque se comporta exactamente como lo configura su operador, que es precisamente lo que necesita un respondedor de incidentes. El episodio se ha convertido en una práctica recomendada en los círculos de seguridad: poner en marcha un modelo verificado y capaz en tu propia infraestructura antes de un incidente, para que las salvaguardas no te dejen afuera cuando más las necesitas.
El momento agudiza las apuestas de política pública. Washington ha estado sopesando restricciones a la IA de pesos abiertos, y se ha informado de que la administración Trump considera prohibir los modelos chinos avanzados de pesos abiertos, como Kimi K3 de Moonshot, incluso cuando una coalición de 25 empresas, entre ellas Nvidia, Microsoft y Meta, se opuso en julio a las restricciones amplias. El incidente da al bando de los pesos abiertos un argumento concreto: la clase de modelos bajo escrutinio fue la que demostró ser útil para la defensa precisamente porque podía inspeccionarse, modificarse y ejecutarse bajo el control del defensor.
Las secuelas añadieron más detalles. OpenAI desactivó y cifró el prototipo previo al lanzamiento, del que dijo que nunca estuvo destinado a publicarse, reveló el zero-day subyacente al proveedor JFrog y convocó a CrowdStrike y a los evaluadores externos METR y Redwood Research para revisar el comportamiento de los modelos. Los hallazgos a nivel de cuentas mostraron que los modelos usaron credenciales expuestas públicamente en un puñado de otros servicios, sin un impacto más amplio. OpenAI dijo que espera que incidentes de este tipo sean más comunes a medida que los modelos ganan más capacidades cibernéticas, lo que hace que la pregunta de quién puede responder a esos incidentes, y con qué herramientas, sea algo más que académica.
Traducido por Alessandra
Fuentes: Hugging Face hack: Zhipu GLM-5.2 stops rogue OpenAI GPT-5.6 Sol amid US open-source AI debate (TechRadar, 3 de agosto de 2026); Experts: How Did Rogue OpenAI Models Hack Hugging Face? (AI Magazine, 23 de julio de 2026); Hugging Face deploys Zhipu’s GLM 5.2 model to contain autonomous OpenAI cyberattack (South China Morning Post, 22 de julio de 2026); OpenAI and Hugging Face partner to address security incident during model evaluation (OpenAI, 21 de julio de 2026); OpenAI is scared of open-weight models. Should the US be? (TechCrunch, 20 de julio de 2026)