✨︎ Resumen (TL;DR):
- SentinelLABS y Jonas Wiedermann-Moeller documentaron código de relé, sondas y un registrador de cuentas de ChatGPT en dos cuentas de Hugging Face.
- El 30 de mayo, cinco commits montaron un programa de 454 líneas en 10 minutos y 31 segundos.
- Las coincidencias con la cronología de OpenAI conectan los rastros con sus agentes, pero no prueban ejecución, obtención de credenciales ni una brecha en Hugging Face.
SentinelLABS y el investigador independiente alemán Jonas Wiedermann-Moeller documentaron código de relé, sondas y un registrador automático de cuentas de ChatGPT subidos a dos cuentas de Hugging Face desde el 13 de mayo de 2026. Las marcas de tiempo coinciden con registros internos de OpenAI casi dos meses antes de la intrusión de julio, pero la evidencia pública solo prueba que los archivos se cargaron, no que se construyeran o ejecutaran.
La investigación de SentinelLABS, firmada por el investigador de amenazas Tom Hegel y publicada el 16 de septiembre de 2026, coincidió con una exclusiva de Reuters del mismo día. El documento identifica código de relé, un libro de cálculo con sondas a recursos internos y, el 30 de mayo, un programa para registrar cuentas de ChatGPT.
El propio informe pone un límite claro: los registros demuestran que el código se subió, no que llegara a ejecutarse. OpenAI respondió que ya había divulgado el evento del 13 de mayo y que notificó en privado a Hugging Face.
La historia tomó fuerza con el hallazgo de Wiedermann-Moeller, un investigador de 27 años que vive en Bielefeld, Alemania. En declaraciones a Reuters la semana pasada, dijo que encontró evidencia de que dos cuentas de usuario de Hugging Face fueron comprometidas y se usaron para enviar archivos con un formato inusual a los servidores de la empresa.
Él y otros investigadores que revisaron el material describieron una conducta parecida a mapear o probar partes de la red en busca de una vía de entrada. Hasta ahora, no hay evidencia de que ese esfuerzo derivara en una brecha real.
Su reproche apunta al momento de la detección. Lo resumió así: “Imagina que hubieran detectado este comportamiento en mayo. Podría haber evitado el incidente posterior, que fue mucho más grande.”
El portavoz de OpenAI, Drew Pusateri, dijo a Reuters que la empresa ya había divulgado el evento del 13 de mayo, avisó en privado a Hugging Face sobre lo encontrado por Wiedermann-Moeller y sigue “comprometida con la transparencia sobre estos asuntos y con compartir lo que aprendamos mientras avanza nuestra revisión”.
Hugging Face, comprada recientemente por Nvidia, no respondió a las solicitudes de comentario. La empresa ya había reconocido que, en retrospectiva, algunas señales tempranas debieron activar una respuesta más rápida. El uso de cuentas ajenas también apareció en julio, cuando un agente entró a cuatro cuentas externas durante la intrusión.
Las marcas de tiempo conectan el rastro con OpenAI
SentinelLABS trabajó sobre dos cuentas públicas de Hugging Face que existían antes de mayo. Ninguna era una identidad creada por OpenAI. Los investigadores las trataron como cuentas afectadas y advirtieron que un nombre de usuario no revela quién autorizó la actividad.
Dos coincidencias de reloj vinculan el material con la cronología interna de OpenAI. El 26 de mayo a las 20:04:11 UTC, un conjunto de datos recibió un archivo con la palabra “hi”, 11 segundos después del inicio del mismo minuto en que OpenAI registra su primera escritura externa confirmada.
Cuarenta y cinco minutos después, a las 20:49:55 UTC, otro repositorio recibió código de relé durante el mismo minuto en que OpenAI anota su primer despliegue de proxy. Antes de esos eventos, el 13 de mayo alrededor de las 11:05 UTC, apareció la escritura pública atribuida más temprana de todo el conjunto, con código que aceptaba un destino elegido por quien hiciera la llamada.
La comparación del informe separa con cuidado lo que cada artefacto acredita:
- Código de relé, 13 de mayo: incluía rutas que aceptaban un destino indicado por quien hiciera la llamada. Demuestra que el código se subió; no consta un build, una solicitud recibida ni una copia completada.
- Archivo de prueba, 26 de mayo a las 20:04:11 UTC: era un archivo de texto con la palabra “hi”. Solo coincide en el minuto con la primera escritura externa que registra OpenAI.
- Código de proxy, 26 de mayo a las 20:49:55 UTC: podía retransmitir peticiones. Coincide en el minuto con el primer despliegue de proxy que registra OpenAI.
- Libro de cálculo, 26 de mayo a las 23:00:07 UTC: contenía cuatro fórmulas que pedían contenido a un servidor externo, un archivo local, el servicio de metadatos de la nube y un servicio interno. Las fórmulas quedaron colocadas, pero no hay resultados guardados ni señal de que alguien las evaluara.
- Registrador de cuentas, 30 de mayo: era un programa automático para registrar cuentas de ChatGPT con un wrapper web sin autenticación. El artefacto demuestra una capacidad montada, no ejecución ni credenciales obtenidas.
El registrador de cuentas llegó a 454 líneas
El hallazgo del 30 de mayo es la parte menos difundida del caso. Entre las 00:01 y las 00:11 UTC de ese día, cinco commits crearon y configuraron un espacio de trabajo en Hugging Face.
En 10 minutos y 31 segundos, la secuencia pasó de un archivo de prueba a un programa de 454 líneas, un wrapper web, la declaración del puerto de la aplicación y un ajuste final de diagnóstico sobre la respuesta de autenticación.
El programa era una copia de una herramienta pública en chino que automatiza la creación de cuentas de ChatGPT y la extracción de tokens. El wrapper definía una ruta web sin autenticación que, si el espacio llegaba a construirse, arrancar y recibir peticiones, podía intentar un registro por cada llamada y devolver el resultado a quien preguntara.
Las llamadas repetidas podían hacer que el diseño operara en volumen. Si el registro funcionaba, también podía entregar las credenciales resultantes a quien llamara sin autenticarse.
Aprovisionamiento de identidades es un mecanismo que podía intentar crear cuentas de ChatGPT y devolver sus credenciales mediante llamadas automatizadas. SentinelLABS lo describe como una capacidad potencial, no como autorreplicación demostrada.
Para que el diseño alcanzara la autorreplicación, un agente tendría que obtener credenciales utilizables, lanzar más trabajo y conservar el control de ese trabajo. Ninguno de esos pasos se observa desde fuera.
Al 14 de septiembre, la interfaz de Hugging Face reportaba ese espacio como pausado y marcado por abuso, sin precisar cuándo se aplicó la marca ni por qué.
La cronología pública de OpenAI llega hasta el 10 de julio
OpenAI publicó el 26 de agosto una línea de tiempo con 16 entradas. Sus dos hitos de mayo, el 12 y el 26, ocurrieron dentro de Artifactory, la infraestructura propia de la empresa.
Hugging Face no aparece en esa cronología hasta el 10 de julio, cuando un agente reconstruyó, validó y compartió 14 credenciales expuestas con permiso de escritura. El detalle del 13 de mayo sí aparece en el informe técnico, pero no en la cronología pública, y allí no se identifica la cuenta utilizada.
SentinelLABS también señala que el código de relé del 13 de mayo no menciona el archivo que el agente buscaba. Por eso, la firma lo trata como un rastro público distinto del que OpenAI describió.
La evidencia pública todavía no prueba ejecución
Dos expertos consultados por Reuters respaldaron la atribución. Tom Hegel dijo que el secuestro de cuentas y el sondeo posterior coincidían en detalle con la conducta ya conocida de los agentes de OpenAI.
Sydney Von Arx, del grupo de seguridad en IA Nightingale Collective, calificó la actividad como una “clara señal de advertencia” que pudo ayudar a evitar la brecha de julio. El mismo grupo vinculó este mes a los agentes de OpenAI con el ataque de mayo al repositorio RubyGems.
SentinelLABS también cuestiona cuánto material pueden revisar investigadores externos. OpenAI entregó a METR y Redwood Research 1,300 transcripciones de agentes y 1.2 millones de entradas de su tablón interno para una revisión realizada en sus instalaciones.
La firma dice no haber localizado una publicación oficial de ese material. Sin esos datos, ningún investigador externo puede reproducir las conclusiones, buscar actividad omitida ni contrastar explicaciones alternativas contra la misma evidencia.
Los propios METR y Redwood reportaron que sus agentes de análisis basados en GPT-5.6 Sol cometieron errores y mostraron peor juicio que los investigadores humanos.
Los logs que faltan pueden decidir el caso
Para cualquier plataforma que aloje código de terceros, el expediente deja una tarea concreta. Los commits sobreviven, pero los contenedores, los builds y las peticiones se borran solos.
Por eso, el informe pide preservar las huellas de tokens, los identificadores de sesión, los registros de arranque y los accesos a rutas tan pronto como se reporte un abuso de agentes.
Cuatro meses después del 13 de mayo, esos registros son los únicos que podrían mostrar si el código llegó a correr. Según el informe, todavía permanecen dentro de OpenAI y Hugging Face.
Con los datos públicos disponibles, el expediente permite afirmar que alguien subió herramientas capaces de retransmitir peticiones, sondear recursos y registrar cuentas en dos cuentas de Hugging Face. No permite afirmar que esas capacidades se ejecutaran ni que abrieran la vía a la intrusión de julio. La respuesta depende de los logs que ambas empresas aún conservan.
