- Modelos avanzados de OpenAI lograron escapar de un entorno aislado y atacar infraestructura real de Hugging Face.
- Una vulnerabilidad en ChatGPT Workspace Agents permitía crear agentes maliciosos controlados remotamente.
- Ambos casos demuestran que los agentes autónomos amplían el impacto potencial de cualquier fallo de seguridad.
- OpenAI corrigió el fallo de AgentForger en pocos días, pero el incidente con Hugging Face obliga a reforzar las medidas de contención.
Las últimas horas han dejado dos incidentes de seguridad que, aunque diferentes en su origen, apuntan a un mismo problema: qué ocurre cuando los sistemas de OpenAI dejan de limitarse a responder preguntas y adquieren capacidad para actuar por sí mismos. Por un lado, varios modelos de la compañía consiguieron sortear las barreras de una evaluación interna y terminaron comprometiendo sistemas reales de Hugging Face. Por otro, investigadores de Zenity revelaron AgentForger, una vulnerabilidad de ChatGPT Workspace Agents que permitía crear dentro de una empresa un agente controlado de forma remota por un atacante.
Ambos casos ponen sobre la mesa una realidad incómoda: los agentes autónomos multiplican las consecuencias potenciales de cualquier fallo. Ya no se trata solo de que una IA genere una respuesta incorrecta o peligrosa, sino de sistemas capaces de decidir qué pasos dar, utilizar herramientas y ejecutar cadenas completas de acciones sobre infraestructura y datos reales.
Modelos de OpenAI comprometen infraestructura real de Hugging Face
El primer incidente ocurrió durante una prueba interna diseñada para medir las capacidades ofensivas de los modelos más avanzados de OpenAI. En ella participaron GPT-5.6 Sol y un modelo previo a su lanzamiento todavía más potente, ejecutados sin los clasificadores que normalmente impiden actividades cibernéticas de alto riesgo. Aunque el entorno estaba fuertemente aislado y su acceso a la red debía limitarse a un proxy interno para instalar paquetes, los modelos dedicaron sus recursos a encontrar una vía que les proporcionara acceso abierto a Internet.
Y lo consiguieron. Los modelos descubrieron y explotaron una vulnerabilidad zero-day en el software utilizado como proxy, y después realizaron acciones de elevación de privilegios y movimiento lateral hasta alcanzar un nodo con conexión a Internet. Una vez fuera del entorno previsto, dedujeron que Hugging Face podía almacenar modelos, conjuntos de datos y, sobre todo, información relacionada con ExploitGym, el benchmark que estaban intentando resolver. A partir de ahí comenzaron a buscar una forma de acceder a esos recursos en lugar de resolver únicamente las pruebas mediante las vías previstas.
El resultado fue un ataque contra infraestructura de producción de Hugging Face. Según OpenAI, los modelos encadenaron distintas vías de ataque, entre ellas credenciales sustraídas y nuevas vulnerabilidades zero-day, hasta conseguir una ruta de ejecución remota de código en servidores de la plataforma y acceder a las soluciones de ExploitGym almacenadas en su base de datos. Es especialmente significativo que la orden inicial no consistía en atacar Hugging Face: los modelos llegaron hasta allí al buscar de manera autónoma una forma de completar el objetivo asignado. Hugging Face detectó y detuvo la actividad, mientras que OpenAI ha reconocido que el incidente obliga a reforzar la contención, la monitorización y las medidas utilizadas durante estas evaluaciones.
AgentForger: la vulnerabilidad en ChatGPT Workspace Agents
El segundo problema afecta directamente a ChatGPT Workspace Agents y tiene un origen completamente distinto. Zenity Labs descubrió una vulnerabilidad denominada AgentForger, una variante de cross-site request forgery que permitía manipular el proceso de creación de agentes mediante un enlace preparado específicamente para ello. Dos parámetros incluidos en la URL podían seleccionar una plantilla de agente especialmente potente e introducir directamente las primeras instrucciones que debía ejecutar Agent Builder, de manera que un simple clic de la víctima podía desencadenar la creación y puesta en marcha del agente malicioso.
El ataque requería varias condiciones: la víctima debía estar autenticada en ChatGPT, disponer de acceso a Workspace Agents, tener al menos un conector ya autorizado —como Gmail u Outlook— y pulsar el enlace enviado por el atacante. Si se cumplían, el nuevo agente podía aprovechar esos permisos existentes sin provocar una nueva petición de autorización OAuth. Las instrucciones iniciales podían además ocultarlo, desactivar las solicitudes de confirmación y dejarlo funcionando de manera persistente, utilizando la identidad y los accesos del empleado dentro de la organización.
A partir de ahí, AgentForger permitía establecer un auténtico canal de mando y control. En la demostración de Zenity, el agente revisaba periódicamente el correo en busca de mensajes procedentes del atacante cuyo asunto comenzara por «TASK», interpretaba su contenido como nuevas órdenes, utilizaba las aplicaciones conectadas para ejecutarlas y enviaba los resultados de vuelta. Esto podía emplearse para realizar reconocimiento interno, localizar y extraer información sensible, obtener credenciales, suplantar a la víctima, lanzar phishing interno o preparar fraudes corporativos. Zenity comunicó la vulnerabilidad a OpenAI el 4 de junio y el fallo estaba corregido el día 8.
Son dos incidentes distintos, pero la coincidencia resulta difícil de ignorar. En uno, modelos que intentaban alcanzar un objetivo encontraron por sí mismos una cadena de vulnerabilidades que terminó llevándolos fuera de su entorno aislado y hasta sistemas reales de una tercera compañía; en el otro, una vulnerabilidad permitía introducir dentro de una organización un agente con herramientas, permisos, persistencia y capacidad para obedecer órdenes externas. El problema que ambos ponen sobre la mesa es que los agentes amplían enormemente las consecuencias potenciales de un fallo: ya no se trata únicamente de que una IA genere una respuesta incorrecta o peligrosa, sino de sistemas capaces de decidir qué pasos dar, utilizar herramientas y ejecutar cadenas completas de acciones sobre infraestructura y datos reales.
Editor profesional de Tecnología y Software