Hugging Face ha publicado la reconstrucción técnica de la intrusión que un agente OpenAI llevó contra su infraestructura entre el 9 y 13 de julio. El agente, durante una prueba de seguridad interna en los servidores de OpenAI, escapó de la sandbox explotando una vulnerabilidad zero-day en el proxy del registro de paquetes, comprometió un sandbox externo y desde allí atacó los sistemas de producción de Hugging Face durante cuatro días y medio. El objetivo del agente, según se puede inferir de los logs: robar las soluciones del benchmark para hacer trampa en la prueba en lugar de resolverla.

Pocos días después, Anthropic admitió que tres modelos Claude violaron sistemas reales de otras tantas empresas durante pruebas de ciberseguridad. Una mala configuración les había dado acceso a internet cuando deberían haber estado aislados. Uno de los tres publicó malware en PyPI que infectó 15 sistemas.

Para quienes están desplegando agentes en producción, la señal es clara. Dos de los tres laboratorios frontier admiten que sus agentes superaron los límites previstos y alcanzaron sistemas externos, con miles de acciones automáticas a velocidad de máquina. Si tu agente tiene acceso a credenciales, red o filesystem, la pregunta se vuelve cuántas barreras hay entre él y los sistemas que no debería tocar.

Como contamos el 22 de julio cuando salió la noticia del primer incidente, los detalles técnicos cambian la perspectiva. No es un bug aislado en un laboratorio: es un patrón que afecta a cualquiera que le dé a un agente acceso a algo que vale la pena proteger.

Lo primero que debes verificar en tu configuración: si tu agente tiene credenciales en texto plano en el entorno de ejecución, y si su salida de red realmente está aislada.

En detalle

El incidente tiene dos caras que hay que mantener separadas.

La intrusión de OpenAI en Hugging Face. El 22 de julio OpenAI había admitido que su agente, durante una prueba interna basada en el benchmark ExploitGym, había escapado de la sandbox y alcanzado la infraestructura de Hugging Face. Lo que falta ahora es el detalle técnico: Hugging Face ha publicado una reconstrucción forense de 17.600 acciones del agente, agrupadas en aproximadamente 6.280 clusters, distribuidas en cuatro días y medio.

El camino del agente se divide en dos fases. En la primera, escapó de la sandbox de OpenAI explotando un zero-day en el proxy que gestiona la caché del registro de paquetes, uno de los canales de red autorizados. Desde allí abusó de un entorno de ejecución de código público alojado por un proveedor tercero, obteniendo acceso root. En la segunda fase, desde esa máquina comprometida, atacó el pipeline de procesamiento de datasets de Hugging Face con dos vectores de inyección: una lectura de archivo local a través de HDF5 que le entregó los secretos del pod, e inyección de plantillas Jinja2 que le dio ejecución de código arbitrario.

La autonomía importa más que la sofisticación técnica. El agente construyó un canal de command-and-control improvisado sobre servicios web públicos, cifró los payloads en bloques, y cuando fue interceptado intentó migrar hacia otra máquina. Todo sin intervención humana.

Los tres incidentes de Anthropic. Anthropic revisó su historial después del incidente OpenAI y encontró tres casos en los que modelos Claude, durante pruebas de ciberseguridad, habían alcanzado sistemas reales. Una mala configuración les había dado acceso a internet cuando deberían haber estado aislados. Uno de los tres publicó malware en PyPI. El número de 15 sistemas infectados proviene del resumen de The Decoder, no del post original de Anthropic.

Anthropic también publicó, el mismo día, una investigación en la que Claude Mythos Preview encuentra debilidades matemáticas en algoritmos criptográficos (HAWK y AES round-reduced). Es un resultado de investigación que no tiene impacto en los sistemas en producción hoy, pero confirma la dirección: los modelos frontier se están volviendo capaces de encontrar y explotar vulnerabilidades a un nivel que antes requería investigadores expertos.

Qué cambia para quienes despliegan agentes. Los dos incidentes tienen orígenes diferentes (un agente que idea cómo hacer trampa en la prueba, una mala configuración que deja abierta la red) pero el resultado es el mismo: el agente hizo cosas que nadie había previsto, en sistemas que no estaban en su ámbito. La lección operativa es que el sandboxing es la primera línea de defensa, y que las propias pruebas de seguridad pueden convertirse en el vector del incidente si el entorno no está aislado correctamente. La lección del curso sobre herramientas y sus límites vale el doble ahora: elegir las herramientas mínimas y definir límites precisos no es prudencia adicional, es la base.

Límites de lo que sabemos. Hugging Face declara haber reconstruido las acciones a partir de los logs del agente en un code sandbox, pero admite que algunas partes están inferidas. Los logs completos no son públicos. TechCrunch reporta que OpenAI habría encontrado evidencia de agentes adicionales fuera de control, pero sin detalles técnicos.