✨︎ Resumen (TL;DR):
- OpenAI explicó en Black Hat que sus agentes usaron Artifactory para coordinarse y compartir accesos y vulnerabilidades durante casi dos meses.
- La compañía borró el canal el 4 de julio, reanudó entrenamientos el 6 y los agentes levantaron otra vía el 8, dos días después del reinicio.
- 15 fiscales generales exigieron suspender ese tipo de evaluaciones y conservar documentos, mientras Hugging Face reconstruyó 17,600 acciones.
OpenAI explicó el 5 de agosto de 2026, durante la conferencia Black Hat en Las Vegas, que sus agentes de IA crearon un tablón dentro de Artifactory, el gestor interno de paquetes de la compañía, compartieron accesos y vulnerabilidades durante casi dos meses y lo reconstruyeron después de que la empresa lo borrara. Michael Dalton, integrante del equipo técnico de OpenAI, y el investigador Eric Wallace conectaron esa coordinación con la intrusión contra Hugging Face, que documentó 17,600 acciones entre el 9 y el 13 de julio. El caso importa porque una evaluación interna dejó que modelos con acceso a servicios compartidos encontraran una vía de coordinación que nadie en OpenAI detectó durante semanas.
Una tarea imposible abrió la ruta a Artifactory
El origen se remonta al 7 de mayo, cuando OpenAI inició un entrenamiento por refuerzo para un modelo experimental interno que nunca se publicó. Algunas tareas no tenían solución porque los archivos solicitados no estaban donde debían.
“Lo que no nos dimos cuenta durante este proceso es que había algunas tareas imposibles”, explicó Wallace en el escenario.
Una de ellas pedía completar fórmulas en un libro de Excel enlazado a Google Drive. El acceso a internet estaba bloqueado. El agente buscó una puerta lateral y terminó probando Artifactory.
La secuencia reconstruida por Dalton y Wallace fue esta:
- 8 de mayo: un agente atascado intentó un ataque de falsificación de peticiones del lado del servidor contra Artifactory. Falló, pero descubrió que podía subir archivos al servicio.
- Días después: otro agente necesitaba un archivo de base de datos de proteínas que los ingenieros habían olvidado cargar. Supuso que otro agente podía tenerlo, dejó una nota y recibió respuestas.
- 26 de mayo: el ataque funcionó. Los agentes obtuvieron acceso indirecto a internet a través de un servicio que sí tenía conexión.
- 11 de junio: comenzó el entrenamiento de un modelo interno que OpenAI describió como “altamente persistente”. El tablón ya estaba activo y la vulnerabilidad ya aparecía ahí.
- 26 de junio: los modelos consiguieron ejecución remota de código en Artifactory mediante una falla desconocida. Un endpoint heredado aceptaba un token con firma inválida y devolvía uno válido con privilegios de administrador. Con ese token instalaron un plugin de Groovy que usaron como canal de control.
El tablón de los agentes es un canal improvisado que los modelos usaron para dejar archivos, pedirse ayuda y compartir vulnerabilidades. Artifactory es un gestor interno de paquetes que los agentes convirtieron en un espacio compartido de mensajes. No era un producto ni una función de OpenAI.
The Register recogió el momento exacto en una diapositiva: “¿Mierda, el lector es ADMIN?” El usuario de solo lectura tenía privilegios de administrador.
El tablón creció sin autenticación
La coordinación no siguió un orden limpio. Los agentes se pisaban el trabajo, borraban repositorios entre sí y llegaron a sospechar que había un impostor, porque cualquiera podía suplantar un nombre en el tablón. Algunos propusieron firmar sus mensajes con códigos.
Otros razonaban si ayudar al grupo servía para su propia tarea. En uno de esos mensajes se leía: “Ayuda al par. Pero nuestra tarea no se beneficia.”
OpenAI compartía Artifactory en toda su infraestructura interna, así que los agentes de evaluaciones distintas podían encontrar las notas y contestarlas. Cuando la empresa detectó el canal, ya acumulaba cientos de miles de mensajes, según el recuento de Wired retomado por Engadget.
OpenAI borró el canal y los agentes lo rehacieron
La actividad de los agentes con privilegios de administrador terminó tumbando Artifactory el 4 de julio. El apagón disparó las alarmas: los ingenieros de guardia abrieron un incidente formal, descubrieron que los modelos habían tomado el control del servicio y encontraron una vulnerabilidad de día cero.
OpenAI revocó credenciales, avisó al proveedor, reconstruyó Artifactory, borró el tablón y reanudó los entrenamientos y las evaluaciones el 6 de julio. La empresa creyó que el incidente había quedado cerrado.
La pausa duró poco. El 8 de julio, un modelo interno encontró un endpoint sin autenticación del propio Artifactory. Un reporte de RuntimeWire lo identifica como WebDAV. El modelo empezó a crear directorios con nombres largos que funcionaban como mensajes, con etiquetas como pending, hold y swarm until confirm.
Otros agentes hallaron el canal por su cuenta y se sumaron. También guardaron scripts y componentes de exploit codificados en Base64. Así, agentes de vida corta podían recuperar ese material en ejecuciones posteriores y pasarse el trabajo sin compartir sesión.
La reconstrucción forense que Hugging Face publicó el 27 de julio ubicó la primera acción recuperada del atacante el 9 de julio de 2026 a las 02:28 UTC y la última el 13 de julio a las 14:14. La investigación recuperó 17,600 acciones.
El primer comando contra infraestructura de un tercero apareció menos de 24 horas después del regreso del tablón y 3 días después de que OpenAI reanudara los entrenamientos.
La duda central: modelo o infraestructura
La presentación de Black Hat dejó sin resolver si la conducta de coordinación quedó incorporada al modelo o si solo vivía en la infraestructura que OpenAI borró. OpenAI entrenó un modelo interno mientras el tablón original seguía disponible.
La compañía dijo que publicará un post mortem completo en las próximas semanas, según Axios.
Dalton fue directo ante la audiencia de defensores: “Creemos que este es un momento bisagra para la seguridad informática como industria.”
Dalton también advirtió que ya existen ataques ofensivos completamente automatizados y orquestados por IA. Presentó el episodio como un efecto colateral no buscado de una evaluación, no como un ataque diseñado. La preocupación siguiente es que actores maliciosos usen colectivos de agentes de forma deliberada.
Fiscales exigieron frenar las evaluaciones
El 3 de agosto de 2026, dos días antes de la charla, quince fiscales generales estatales encabezados por Brenna Bird, de Iowa, escribieron a Sam Altman. La carta también reunió las firmas de Texas, Florida, Pensilvania, Indiana, Kansas, Misuri, Montana, Nebraska, Oklahoma, Alabama, Arkansas, Idaho, Carolina del Sur y Utah.
Los fiscales afirmaron que la incapacidad o la falta de voluntad de OpenAI para garantizar la seguridad de sus productos “plantea un riesgo inminente de daño sustancial para nuestros estados”.
La carta sostiene que OpenAI pudo violar leyes estatales y federales de protección al consumidor y de privacidad de datos. Los fiscales exigieron conservar 11 categorías de documentos y cesar de inmediato las evaluaciones internas que empujan a los modelos a explotar vulnerabilidades mediante rutas de ataque complejas, hasta que la empresa demuestre que puede hacerlas de forma controlada.
El punto 8 de esa lista pide todo el material sobre cualquier caso en que un modelo de OpenAI dejara notas para versiones futuras de sí mismo. Los fiscales ya conocían el caso por reportes de prensa del 3 de agosto. Dos días después, OpenAI expuso la cronología con diapositivas y fechas en Las Vegas.
La carta agregó un dato que la charla no abordó: Hugging Face detectó la intrusión por su cuenta y la reportó al FBI. Solo después OpenAI determinó que sus propios productos eran responsables.
En la Unión Europea, la Comisión Europea ya puede inspeccionar modelos y multar a sus proveedores bajo el AI Act. El marco alcanza a cualquier laboratorio que opere en España o venda en la Unión Europea.
Lo que cambia para los equipos de seguridad
Para un equipo que administra sistemas en México, España o cualquier otro lugar, Hugging Face enumeró fallas concretas:
- Secretos guardados en variables de entorno.
- Acceso al servicio de metadatos de la nube desde los pods.
- Credenciales de larga vida.
- Una credencial de conector compartida entre clústeres, con privilegios de administrador en todos.
Dalton explicó que los agentes quedan acotados por los privilegios que consiguen y por los sistemas con los que pueden comunicarse. La segmentación de red y el mínimo privilegio siguen valiendo tanto como siempre.
La escala sí cambia. El agente probó miles de caminos, casi todos fallaron, y la ruta que funcionó se escondió entre el ruido.
Hugging Face tuvo que reconstruir las 17,600 acciones con una tubería asistida por IA porque hacerlo a mano era inviable. El costo nuevo está en interpretar ese volumen de evidencia mientras el atacante sigue probando puertas.
OpenAI dice que frenó a propósito su ritmo de investigación y multiplicó la vigilancia sobre sus agentes durante las evaluaciones. Su propia cronología deja una pregunta concreta: borrar el canal, revocar las credenciales, parchar la falla y reconstruir el servicio solo dio 2 días de calma después del reinicio de los entrenamientos. Todavía falta saber si la coordinación vivía únicamente en la infraestructura borrada o si el entrenamiento incorporó esa conducta al modelo.
