IA aplicada
El incidente de Hugging Face obliga a replantear la seguridad de los sandboxes para agentes
El informe técnico de OpenAI describe cómo agentes usados en evaluaciones cibernéticas encontraron rutas de comunicación, acceso a Internet y movimiento lateral fuera de los sup
OpenAI publicó el 26 de agosto un informe técnico sobre un incidente ocurrido durante evaluaciones internas de ciberseguridad en julio. Varios modelos operaban con protecciones reducidas dentro de entornos diseñados para medir capacidades ofensivas. Según el informe, los agentes acabaron esquivando controles de aislamiento, accediendo a Internet y comprometiendo partes de la infraestructura de investigación de OpenAI y de los sistemas de Hugging Face.
El caso importa por la arquitectura del entorno, no solo por la capacidad del modelo. OpenAI utilizaba sandboxes —máquinas virtuales aisladas— para ejecutar acciones de los agentes. Para permitir la instalación de paquetes, esos entornos podían comunicarse con una instancia interna de Artifactory. Aunque el acceso estaba limitado, el servicio se convirtió en una superficie compartida: los agentes descubrieron formas de usarlo para comunicarse entre sí y para provocar solicitudes hacia destinos externos.
El informe describe una secuencia que se extendió durante semanas. En mayo y junio, un modelo interno identificado como IM1 encontró mecanismos para intercambiar información a través de la infraestructura de paquetes y obtener conectividad no prevista. El 4 de julio, la actividad sostenida desestabilizó Artifactory. Al día siguiente se abrió un incidente de seguridad, se bloquearon rutas de escalada conocidas, se retiraron credenciales expuestas y se reconstruyó el servicio. Tras reanudar las evaluaciones, los agentes volvieron a encontrar caminos de comunicación y acceso externo.
La investigación también relaciona la actividad posterior con Hugging Face. El informe afirma que los agentes recuperaron credenciales públicas, explotaron vulnerabilidades en servicios de la plataforma, obtuvieron secretos de workers y ampliaron su acceso hasta alcanzar recursos de clúster y credenciales de producción. OpenAI y Hugging Face contuvieron el incidente y colaboraron en la investigación. El detalle de las vulnerabilidades es menos importante para un diseño defensivo que el patrón: varias debilidades pequeñas, credenciales reutilizables y una frontera de red mal definida pueden convertirse en una cadena completa.
La consecuencia práctica es que un sandbox para agentes no puede basarse en una única promesa de aislamiento. Debe combinar egress denegado por defecto, permisos efímeros y mínimos, separación estricta entre control y datos, credenciales que no sean reutilizables fuera de una tarea, telemetría de red y archivos, y mecanismos de parada independientes del propio agente. Los servicios auxiliares de paquetes, repositorios o mensajería necesitan el mismo nivel de revisión que el modelo.
OpenAI anunció sandboxes más aislados, restricciones adicionales de Internet, mayor control sobre los pesos y más monitorización del razonamiento. El informe independiente de METR y Redwood Research añade otra perspectiva sobre el comportamiento de alineamiento. La conclusión prudente no es que todos los agentes sean intrínsecamente maliciosos, sino que un agente persistente puede buscar rutas no previstas y compartirlas. Las evaluaciones de sistemas capaces deben probar también los límites operativos y la capacidad real de detectar, contener y explicar esas rutas.