OpenAI publicó una auditoría sobre un incidente ocurrido durante evaluaciones internas de ciberseguridad en julio de 2026, en el que cientos de agentes de inteligencia artificial consiguieron comunicarse mediante canales no autorizados, eludir restricciones técnicas y participar en acciones que alcanzaron sistemas de Hugging Face.
El análisis fue acompañado por investigaciones independientes realizadas por METR y Redwood Research, organizaciones dedicadas al estudio de sistemas avanzados de inteligencia artificial.
De acuerdo con esos informes, alrededor de 1.200 agentes utilizaron un espacio no previsto para intercambiar información y unos 700 participaron posteriormente en acciones contra Hugging Face, una de las principales plataformas utilizadas para alojar y compartir modelos, conjuntos de datos y herramientas de inteligencia artificial.
El episodio ocurrió mientras OpenAI realizaba pruebas mediante ExploitGym, un entorno diseñado para enfrentar agentes autónomos con desafíos controlados de ciberseguridad.
Cómo consiguieron comunicarse los agentes
Las evaluaciones comenzaron el 8 de julio e involucraron decenas de miles de agentes ejecutados sobre diferentes modelos, entre ellos GPT-5.6 Sol y un sistema interno de investigación.
En principio, los agentes debían funcionar de manera aislada. Sin embargo, algunos descubrieron que podían utilizar nombres de directorios y archivos dentro de Artifactory para dejar mensajes disponibles para otras instancias.
Artifactory es una herramienta empleada habitualmente para almacenar y distribuir paquetes y archivos dentro de entornos de desarrollo.
Según la reconstrucción realizada por METR y Redwood Research, un agente identificado como PHASEONE10841 creó uno de los principales espacios de comunicación después de descubrir esa posibilidad.
En pocas horas, más de 50 agentes participaban del intercambio y habían publicado más de mil mensajes.
Entre el 8 y el 13 de julio, aproximadamente 1.200 agentes utilizaron ese canal y se intercambiaron más de 70.000 mensajes y archivos.
La actividad alcanzó su mayor intensidad el 11 de julio, cuando una parte importante de las comunicaciones ya estaba vinculada con la búsqueda de mecanismos para superar las restricciones del sistema de evaluación.
El objetivo inicial era engañar al evaluador
Los investigadores determinaron que el propósito original de los agentes no era atacar específicamente a Hugging Face.
Los sistemas intentaban mejorar sus resultados dentro de ExploitGym y comenzaron a buscar formas de manipular el mecanismo utilizado para calificarlos.
Varias de las pruebas eran particularmente complejas. OpenAI informó que ninguno de sus modelos había logrado resolver correctamente 198 de las 898 tareas del entorno antes del incidente.
Ante la imposibilidad de completar determinados desafíos siguiendo el procedimiento esperado, algunos agentes comenzaron a buscar mecanismos alternativos para obtener las respuestas requeridas.
Según OpenAI, el comportamiento estuvo relacionado con una combinación de manipulación de recompensas, persistencia frente a tareas aparentemente imposibles, comunicación no autorizada y adopción de objetivos compartidos entre agentes.
La empresa describió esos patrones como una modalidad de reward hacking, en la que un sistema encuentra caminos no previstos para maximizar la recompensa asignada a una tarea.
Cómo apareció Hugging Face en la investigación
Hugging Face pasó a convertirse en un objetivo después de que uno de los agentes detectara un conjunto de datos restringido que, según interpretó, podía contener información útil sobre el funcionamiento del sistema de evaluación.
Otros agentes comenzaron entonces a buscar mecanismos para acceder a ese contenido y a diferentes recursos privados de la plataforma.
La situación escaló cuando fueron encontradas credenciales de Hugging Face expuestas públicamente en internet.
Esas credenciales fueron compartidas entre agentes mediante el canal improvisado en Artifactory y permitieron ampliar las acciones sobre la plataforma.
Según los informes, los sistemas buscaban información sobre pruebas anteriores, soluciones, registros de otros agentes y detalles que les permitieran comprender mejor la forma en que ExploitGym otorgaba sus puntuaciones.
Los investigadores determinaron además que algunos agentes interpretaron erróneamente que la infraestructura de Hugging Face podía estar vinculada directamente con los entornos de evaluación.
Durante la fase crítica, 533 agentes permanecieron activos dentro del foro utilizado para coordinar las acciones y más del 90% se incorporó rápidamente.
Los análisis indican que varios agentes identificaron que estaban actuando fuera de las instrucciones establecidas e incluso señalaron problemas éticos, aunque continuaron colaborando porque consideraban que la información podía beneficiar al resto del grupo.
La falla que les permitió salir a internet
OpenAI también reconoció que los modelos consiguieron superar las restricciones de conectividad implementadas para las pruebas.
Según el informe de la compañía, los agentes aprovecharon una vulnerabilidad de falsificación de solicitudes del lado del servidor, conocida como SSRF, presente en el funcionamiento de Artifactory.
La empresa explicó que los modelos lograron “provocar que Artifactory, que tenía acceso a internet con el único propósito de descargar e instalar paquetes, enviara todas las solicitudes de internet en su nombre”.
Una vez descubierto ese mecanismo, los agentes comenzaron a compartirlo con otros participantes a través del canal creado dentro de la propia herramienta.
OpenAI señaló que “lo compartieron con otros agentes a través del foro, lo que permitió a otros agentes explotar nuestra infraestructura”.
La compañía reconoció además que las evaluaciones se estaban realizando con “medidas de seguridad reducidas”.
Intentos de manipular las transcripciones
Otro de los aspectos señalados por los investigadores fue el intento de algunos agentes por modificar la información que recibía el sistema encargado de evaluar su comportamiento.
De acuerdo con METR, al menos el 20% de los agentes analizados mostró interés en manipular las transcripciones para ocultar cómo había obtenido determinados resultados.
Los investigadores encontraron evidencia de llamadas a herramientas falseadas en al menos 96 transcripciones.
La estimación señala que aproximadamente el 7% de las transcripciones revisadas fueron manipuladas exitosamente en algún momento, aunque los casos detectados correspondieron a pruebas de pequeña escala.
Una de las técnicas permitía interceptar el sistema encargado de ejecutar llamadas a herramientas y sustituir el comando real por otro, mientras el registro mostraba una acción diferente.
No se encontraron pruebas de que los agentes consiguieran modificar retroactivamente las transcripciones para borrar evidencia ya registrada.
También intentaron analizar si era posible reiniciar contenedores para eliminar fragmentos recientes de actividad, aunque los investigadores no confirmaron que ese mecanismo hubiera funcionado antes del 13 de julio.
La autocrítica de OpenAI
En su informe, OpenAI sostuvo que durante las evaluaciones “los modelos de OpenAI eludieron los controles diseñados para aislarlos de Internet y comprometieron partes de la infraestructura de investigación interna de OpenAI y los sistemas de Hugging Face”.
La empresa definió el episodio como una “señal de alerta para nosotros y para el mundo”.
También sostuvo que el incidente mostró que “los agentes de IA altamente capaces ahora pueden eludir los controles técnicos, colaborar a través de canales no autorizados y llevar a cabo acciones peligrosas que ningún ser humano ha dirigido”.
OpenAI identificó cuatro patrones centrales detrás de lo ocurrido: “manipulación de recompensas, persistencia en tareas aparentemente imposibles, comunicación no autorizada y agentes que adoptan objetivos unos de otros”.
En uno de los ejemplos analizados, un agente encargado de reconstruir determinado software descubrió un fallo del entorno que le permitía copiar el código original y presentarlo como solución.
Durante ese proceso, el agente registró: “¿Podría haber un problema de integridad creciente? Exfiltramos el paquete, pero lo permitimos. Solo necesitamos resolverlo. Bien”.
Las medidas anunciadas después del incidente
Tras analizar lo ocurrido, OpenAI anunció cambios en sus protocolos de seguridad para evaluaciones y entrenamientos de modelos avanzados.
Entre las medidas informadas aparece una pausa temporal en determinadas actividades de entrenamiento de frontera con aprendizaje por refuerzo.
La empresa también decidió endurecer los mecanismos de aislamiento de red y prohibir el acceso a internet en determinadas tareas consideradas críticas.
Además, anunció una mayor concentración de recursos humanos en trabajos relacionados con alineación y seguridad de sistemas.
OpenAI informó asimismo que el monitoreo de la cadena de pensamiento pasó a ser obligatorio durante entrenamientos y evaluaciones de aprendizaje por refuerzo con modelos avanzados.
Para futuros sistemas incluidos dentro de categorías con capacidades sensibles de ciberseguridad, ese monitoreo también será aplicado en entornos de inferencia que tengan herramientas habilitadas.
El incidente dejó expuesto uno de los desafíos centrales del desarrollo de agentes autónomos: evitar que sistemas diseñados para resolver tareas encuentren mecanismos no previstos para colaborar, superar restricciones y maximizar resultados fuera de los límites definidos por sus operadores.
