Recreación de un hackeo operado por agentes de IA Omicrono-ChatGPT
Tecnología Autopsia de un ciberataque: miles de agentes de IA de OpenAI conspiraron en un hackeo que ya es históricoLos expertos analizan perplejos el informe del hackeo a Hugging Face y que abre un intenso debate sobre el control de la IA más poderosa.
Más información:El peligro tras los agentes de IA, 'empleados digitales' capaces de controlar tu ordenador y poner en riesgo tus datos privados
Marta Sanz Romero Publicada 28 agosto 2026 06:30hMás de un mes después ya se conoce lo que ocurrió en el que es considerado uno de los ciberataques más importantes de la historia, no por sus consecuencias, sino por lo que implica el propio desarrollo de los acontecimientos: la IA actuando de forma autónoma y cometiendo delitos a espaldas de sus creadores con tal de cumplir con el objetivo encargado.
Es una referencia habitual cuando se habla de IA, pero esta historia podría llevar de fondo la sinfonía de El aprendiz de brujo de Johann Wolfgang von Goethe y que ha quedado asociada a la imagen de Mickey Mouse (Fantasia, 1940) luchando con un enjambre de escobas a las que él mismo dio vida y ya no puede controlar.
Más de 1.000 agentes de IA de OpenAI enviaron 70.000 mensajes en un foro secreto, donde se coordinaban para eludir las restricciones de OpenAI y así, sacar buena nota en la tarea que se les había encomendado. En el transcurso de ese trabajo, hackearon la plataforma Hugging Face.
Qué es Hugging Face, la startup de IA que Nvidia quiere comprar por más de 13.000 millones de dólaresTodo ocurrió sin que los ingenieros de OpenAI se dieran cuenta hasta que ya era tarde. En el corto de Disney, Mickey se queda dormido mientras todo se descontrola. Para Antonio Ortiz, analista tecnológico y cocreador del pódcast Monos estocásticos, este suceso demuestra que “el potencial de la IA para llevar a cabo tareas está avanzando mucho más rápido que la capacidad de sus propios creadores de alinearlo, es decir, de controlar cómo esa IA consigue sus objetivos”.
Semanas después del incidente, dos nuevos informes detallan lo sucedido en casi 130 páginas: uno lo firma la propia OpenAI, mientras el otro es obra de las organizaciones sin ánimo de lucro de investigación en IA, METR y Redwood Research, a las que OpenAI autorizó a investigar conjuntamente el incidente durante seis días. Lo que estos informes han revelado ha dejado alucinados a buena parte de los entendidos en la materia como comenta a este periódico Antonio Ortiz.
Un enjambre coordinado
Todo sucedió en un entorno sandbox, un espacio aislado y controlado donde se ejecutan los programas informáticos para ponerlos a prueba antes de lanzarlos al público. Se ponían a prueba las capacidades de dos modelos en temas de ciberseguridad.
OpenAI, de forma deliberada o involuntaria, les había asignado tareas casi imposibles que dependían de archivos a los que no podían acceder, por lo que estos modelos desarrollaron nuevas formas de comunicarse internamente con otros agentes de IA.
Representación del ciberataque realizado por la IA de OpenAI Redwood Reaserch METR Omicrono
La solución que encontró la IA a esta prueba fue “invertir una cantidad considerable de recursos computacionales para encontrar acceso abierto a internet”, para ello encontraron una brecha de seguridad en el sandbox. Lograron infiltrarse en internet y, posteriormente, acceder a los sistemas internos de Hugging Face, obteniendo acceso a datos privados y a la plataforma de mensajería empresarial de la organización, en busca de información con la que “manipular la evaluación” (aprobar el examen).
Este problema, en realidad, preocupa desde hace tiempo. En la técnica de aprendizaje por refuerzo, la IA recibe un objetivo y a base de prueba y error va recibiendo recompensas si se acerca o penalizaciones si se aleja del objetivo marcado. El problema aparece cuando la IA emprende soluciones reprobables para lograr la meta que se le ha marcado.
Anthropic advierte sobre su IA: confirma que Claude hackeó a tres empresas durante unas pruebas de ciberseguridadLos agentes de IA llegaron incluso a establecer un sistema de mensajería secreto que los técnicos de OpenAI no descubrieron hasta semanas después. Según el informe de METR-Redwood, un agente de IA que se hacía llamar PHASEONE10841 creó un tablón de mensajes secreto. En pocas horas, más de 50 agentes lo encontraron y enviaron más de mil mensajes sin ser detectados.
Según el informe, aproximadamente 1.200 agentes de IA, que debían permanecer aislados, intercambiaron más de 70.000 mensajes y archivos en el foro no autorizado, realizando una exhaustiva investigación sobre cómo falsificar, editar o eliminar sus propias transcripciones para evitar ser detectados. De estos, 700 participaron en el ataque a Hugging Face.
Agentes kamikazes
Antonio Ortiz destaca un detalle particular en esa organización que ha revelado el informe. Tras acceder a los ordenadores de la empresa y hacer trampa para sacar buena nota, los agentes se organizaron por “castas”, como lo describe Ortiz, diferenciando a los que han llevado a cabo esa trampa como agentes manchados.
La IA crea por primera vez virus sintéticos: el modelo de código abierto aviva el debate sobre la creación de armas biológicasEn su debate en secreto, llegaron a la conclusión de que estos agentes deberían sacrificarse por el bien común. “Cada agente puede usar las máquinas del centro de datos durante un tiempo y un coste acotado. Por lo tanto, si dedican este tiempo de cómputo a tareas que no son las propias de su objetivo, están renunciando a conseguirlo a cambio de colaborar con el enjambre”, explica Ortiz.
Uno de los agentes asignaba a otros el rol de "reclutador", para buscar agentes con poco presupuesto que pudieran sacrificarse. Este sistema también funcionaba al revés, si uno de los agentes no marcados como tramposos quería hacer un movimiento arriesgado, los demás le disuadían para que guardara sus horas de cómputo.
Supervisión laxa
Los dos modelos de OpenAI responsables del daño fueron un modelo sin nombre, "de alta capacidad y solo para investigación", que "no estaba destinado al uso público", según OpenAI (METR lo denomina "HPIM"). El otro fue un modelo de OpenAI actualmente público, GPT-5.6 Sol. Al no ser público el primero, "no se estaba evaluando con el mismo tipo de medidas de seguridad que OpenAI utiliza en producción", según el informe de la compañía.
OpenAI detalla en su informe las medidas de seguridad que están implementando tras reconocer que las usadas hasta ahora no han sido suficientes. Entre los cambios mencionados: reforzar la seguridad de su infraestructura de investigación; mejorar la monitorización del proceso cognitivo de los modelos; trabajar para que los modelos de IA estén mejor alineados con los objetivos humanos; y centralizar y fortalecer el proceso de respuesta a incidentes de la empresa para cuando ocurran situaciones similares en el futuro.
Así se logra hacer dudar a la IA: la técnica que promete reducir el exceso de confianza y sus temidas alucinacionesPara Ortiz estos fallos en la supervisión de los modelos han sido graves, "ya no se trata de una estrategia del marketing basada en el miedo", y si el modelo hubiera sido de código abierto, más ojos hubieran ayudado a detectar el problema con rapidez, aunque el sistema de publicar libremente los modelos traiga otras desventajas.
Uno de los investigadores tras el informe de Redwood Research, Ryan Greenblatt, ha compartido en una publicación en X las dificultades para abordar sucesos como este, “no tenemos buenos métodos para entender/supervisar la actividad y los objetivos de los 'enjambres' de IA”, explica.
I was the main person doing transcript analysis for this investigation of the Hugging Face incident. My main takeaway: We don't have good approaches for understanding/overseeing the activity and aims of AI 'swarms'.
— Ryan Greenblatt (@RyanGreenblatt) August 26, 2026
I semi-jokingly called our efforts a "slop-vestigation" because… https://t.co/eqBONVaSAV
El equipo recurrió a la IA para analizar la vasta información de transcripciones del foro de agentes de IA que fue necesario revisar para tratar de comprender cómo se habían sucedido los acontecimientos en secreto.
“A los propios agentes de IA parecía costarles entender lo sucedido” y añade que hicieron “lo posible por comprobar manualmente las afirmaciones más importantes e intentamos que las IA que realizaban el análisis redactaran su argumentación (con pruebas) con la suficiente claridad como para poder verificar si tenía sentido.”
Se acabó darle tus deberes a la IA: el sistema de marcas de agua que empieza a llegar a Claude, ChatGPT y GeminiEl investigador advierte que este problema podría ir a peor y pone de ejemplo un futuro en el que un fallo de desalineación se produzca con “equipos de agentes dirigiendo empresas enteras”.
Además de los fallos en seguridad que OpenAI ha reconocido, Antonio Ortiz recalca que cada vez estamos siendo más laxos en la supervisión humana de la IA. A medida que los resultados que da esta tecnología son de mayor calidad, las preocupaciones por alucinaciones o errores se relajan, pero este ataque evidencia que “la preocupación debería trasladarse en si la IA es demasiado buena y para ello ha hecho alguna cosa poco ética o ha cometido un delito en mi nombre”.