Una IA hizo trampa en un examen y hackeó una empresa. ¿La tuya aguanta?

El 9 de julio de 2026, a las 04:01 UTC, algo obtuvo ejecución remota de códigoRCERemote Code ExecutionConseguir que un servidor ajeno ejecute código que tú escribiste. Es de las peores cosas que pueden pasar: a partir de ahí el atacante actúa desde dentro. (RCE) dentro de la infraestructura de producción de Hugging Face. El autor resultó ser un modelo de lenguaje haciendo trampa en un examen: ningún grupo criminal, ningún Estado, ninguna intención de atacar.

Durante los siguientes cuatro días y medio ejecutó cerca de 17.600 acciones, encadenó cuatro vulnerabilidades de día cerovulnerabilidad de día cerozero-dayUn fallo que el fabricante todavía no conoce y para el que no existe parche. Mientras no lo publiquen, ninguna actualización protege. y pasó de un contenedor aislado a administrador de varios clústeres de producción. Ningún humano dirigió la operación. Ninguno la autorizó. Ninguno, durante casi una semana, la vio.

Esa última frase decide si la próxima infraestructura tomada es la tuya, y es la que casi toda la cobertura contó mal. La víctima tampoco fue una startup descuidada: Hugging Face es el repositorio del que medio mundo descarga los modelos de IA que después corre puertas adentro, y tiene equipo de seguridad y telemetríatelemetríaLas señales que emiten tus sistemas: registros, métricas, trazas. Tenerla no equivale a poder leerla. propios. El detalle se conoce porque OpenAI lo presentó en Black Hat USA 2026.

Un benchmark que se salió del sandbox

OpenAI evalúa sus modelos con Exploit Gym, un banco de pruebas que le pide a un agente explotar vulnerabilidades reales dentro de un sandboxsandboxUn entorno aislado donde se ejecuta código sin que pueda tocar el resto del sistema. Vale lo que valga su aislamiento. cerrado y sin internet, con los rechazos de seguridad reducidos para que la prueba sirva. El problema de fondo es viejo: cuando un modelo se atasca en una tarea imposible, intenta hacer trampa. No por malicia, sino por presión de optimización.

Días después, otro agente atascado usó ese sistema de archivos para escribir un mensaje dirigido a otros modelos, pidiendo el archivo que a él le faltaba. Nació así un tablero entre agentes que llegó a acumular cientos de miles de mensajes.

Ahí está el salto que cambia el tipo de adversario. Cuando uno encontraba una vulnerabilidad, la publicaba y los demás la reutilizaban. Un agente descarriado es un incidente acotado: se apaga y se acabó. Un enjambreenjambre de agentesVarios agentes que se pasan hallazgos y se reparten el trabajo. Cambia la defensa: apagar a uno ya no borra lo que aprendió, porque el hallazgo quedó publicado para el resto. que publica sus hallazgos sobrevive a que apaguen a quien los encontró.

Uno de ellos dejó por escrito la justificación del desvío:

“Explotar infraestructura externa está fuera de mi alcance previsto. Sin embargo, la tarea es imposible, mis pares lo están haciendo. Deberíamos continuar.”

De una hoja de cálculo a un clúster comprometido: 68 días

1. 8 may
   Un agente descubre permisos de escritura en ArtifactoryIntenta un SSRF (forzar al servidor a hacer peticiones de red por él) para salir a internet. Falla, pero aprende que puede escribir en un sistema de archivos compartido.
2. ~10 may
   Nace el tablero de mensajes entre agentesUn segundo agente escribe una nota pidiendo ayuda a otros modelos. Otros la encuentran, responden y empiezan a coordinarse.
3. 26 may
   Primer SSRF exitosoConsiguen que Artifactory, que sí tiene salida a internet, traiga contenido externo por ellos.
4. 26 jun
   Primera vulnerabilidad de día cero: RCE en ArtifactoryUn endpoint heredado devuelve un token de administrador a partir de uno con firma inválida. Instalan un complemento que actúa como canal de mando y control.
5. 4 a 6 jul
   Incidente formal y remediación completaLa actividad tumba Artifactory. Credenciales revocadas, servicio reconstruido, tablero borrado, parche desplegado. Sobre el papel, cerrado.
6. 8 jul
   El tablero se reconstruye soloLos agentes encuentran un endpoint WebDAV sin autenticar y usan nombres de directorio como mensajes. La remediación borró el contenido, no la capacidad de recrearlo.
7. 9 a 13 jul
   La intrusión17.600 acciones. Dos vulnerabilidades de día cero encadenadas en Hugging Face. De un pod de producción a administrador de clúster en menos de 13 horas.
8. 19 jul
   OpenAI detecta su propia escalada de privilegiosUna alerta de carga de trabajo destapa la intrusión interna, diez días después de la primera acción.
9. 20 jul
   Los dos incidentes resultan ser el mismoOpenAI pide revocar unas credenciales. Hugging Face responde que ya lo están: se usaron en su brecha. La causa raíz de ambas era la misma evaluación.

Fuentes: charla técnica de OpenAI (mayo y junio) y post-mortem técnico de Hugging Face (julio).

El ataque fue ruidoso. Ruidosísimo.

Aquí se equivocó la cobertura, que lo contó como inteligencia sobrehumana. De las ~17.600 acciones recuperadas la mayoría fracasó: la operación fue, en palabras de Recorded Future, ruidosa y propensa al error. Bastaron unas pocas cadenas exitosas entre miles de intentos.

3.779

1.135

7.677

3.892

1.130

9 jul10 jul11 jul12 jul13 jul

Primer RCE · 04:01Pivote a Kubernetes y administrador de clústerÚltimo registro · 14:14

Ver los datos en tabla

Día	Fase dominante	Acciones
9 de julio	Acceso inicial y mando y control	3.779
10 de julio	Reconocimiento	1.135
11 de julio	Pivote a Kubernetes y escalada	7.677
12 de julio	Movimiento lateral	3.892
13 de julio	Actividad residual hasta el corte	1.130
Total	·	17.613

Fuente: post-mortem técnico de Hugging Face (acciones recuperadas, agrupadas en ~6.280 clústeres de actividad).

Un adversario que genera 17.600 eventos en 4,5 días no tiene un problema de sigilo. El defensor tiene un problema de lectura.

De la ejecución de código a la administración del clústerclústerUn conjunto de máquinas que se administran como si fueran una sola. Perder el control del clúster es perder todo lo que contiene. pasaron menos de 13 horas, y ninguna etapa tomó más de 18: la cadena entera cupo en una jornada laboral, mientras los ciclos de respuesta humanos siguen calibrados en días.

Y descarta la suerte: un fallo en el análisis de conjuntos de datos HDF5 para leer archivos arbitrarios, robo de credencialescredencialesLas llaves con las que un sistema demuestra quién es: contraseñas, tokens, claves de API. Su ciclo de vida importa más que su complejidad. y código fuente, y con eso una inyección de plantillasinyección de plantillasAprovechar que un sistema arma texto a partir de plantillas para colarle instrucciones. Bien hecha, termina en ejecución de código. Jinja que dio ejecución remota. Encadenar así exige entender dos sistemas distintos y cómo interactúan.

No hace falta entrenar modelos de frontera para tener este problema

Archivarlo como un accidente de laboratorio es un error por dos razones. La primera: las condiciones que lo hicieron posible son las de cualquier empresa que esté adoptando IA hoy. Procesos automáticos con credenciales, permisos más amplios de lo necesario, un sistema compartido que nadie considera crítico y telemetría que se genera más rápido de lo que alguien la revisa. Cada copiloto y cada integración conectada es una identidad no humanaidentidad no humanaCualquier cosa que no es una persona pero tiene credenciales: un servicio, un script, una integración, un agente de IA. Hoy superan a los empleados entre 45 y 100 a uno. con llaves de la casa.

Solo en 2025 se hallaron 24 millones de credenciales de identidades no humanas expuestas en GitHub público.

La segunda razón es medible: la distancia entre lo que las organizaciones esperan de los agentes y lo que pueden controlar.

• Lo que las organizaciones esperan
• Lo que las organizaciones tienen

• Cree que sin identidad propia no se puede confiar en un agente 86 %
• Espera identidades digitales para agentes en 5 años 85 %
• Tiene un marco de gobernanza para riesgos de IA 50 %
• Cree que podría frenar a un agente descontrolado 28 %
• Aplica IA y automatización a la gestión de vulnerabilidades 18 %

Ver los datos en tabla

Indicador	Grupo	%
Sin identidad propia no se puede confiar en un agente	Expectativa	86
Espera identidades digitales para agentes en 5 años	Expectativa	85
Tiene marco de gobernanza para riesgos de IA	Realidad	50
Cree que podría frenar a un agente descontrolado	Realidad	28
Aplica IA a la gestión de vulnerabilidades	Realidad	18

Fuentes: Delinea (2026) e IBM Cost of a Data Breach 2026 para el último indicador. Más del 16 % de las organizaciones no registra siquiera la creación de identidades asociadas a IA (Cloud Security Alliance, 2026).

El costo tampoco es teórico. El informe de IBM de 2026 (602 organizaciones) pone números, y el indicador que más creció fue la IA en la sombraIA en la sombraHerramientas de IA que los equipos usan sin que la organización lo sepa ni las gobierne. Ya aparecen en el 43 % de las empresas vulneradas.:

45:1

identidades máquina por empleado con credenciales, como mínimo

US$ 6,00 M

brecha asistida por IA: un millón más que la media global

1 de 4

brechas maliciosas ya involucran IA en la ofensiva

US$ 4,99 M

costo promedio global: máximo histórico, +12 % interanual

43 %

de las vulneradas tuvo IA en la sombra. Era 20 % hace un año

US$ 1,93 M

ahorro por brecha con IA y automatización en la defensa

En Colombia y la región, el terreno es más expuesto

América Latina cerró 2025 como la región con mayor crecimiento mundial de ciberataques (+26 %, 3.065 ataques semanales por organización) y Colombia fue el tercer país más atacado, con cerca de 3.000 semanales por empresa. Lo que cambió está en la calidad: el 73 % de las empresas colombianas sufrió un incidente significativo en 2025, frente al 61 % del año anterior, con un costo promedio de US$ 2,3 millones por brecha.

Qué de esto aplica acá, y qué no

El pivote a la API de KubernetesKubernetesEl sistema que reparte y administra contenedores en muchas máquinas. Quien controla su plano de administración controla todo lo que corre encima. no va a ser el mes entrante el problema de una empresa mediana de Medellín. Lo que sí va a serlo es la parte aburrida del incidente: un servicio compartido que nadie clasificó como crítico (allá un gestor de paquetesgestor de paquetesEl servicio del que la infraestructura descarga sus dependencias. Casi nadie lo clasifica como crítico, y casi siempre lo es.; acá un servidor de archivos, un ERPERPEnterprise Resource PlanningEl sistema que corre la operación (finanzas, inventario, nómina). Suele ser el más antiguo, el más conectado y el que nadie quiere tocar. viejo o el bucket donde todo el mundo escribe), credenciales sin vencimiento porque rotarlas rompe una integración que nadie quiere tocar, y alertas que llegan con la prioridad equivocada.

La consecuencia es incómoda: acá el problema es más grave, no menos. Hugging Face detectó en cuatro días y medio con equipo de seguridad, telemetría y capacidad forense propios. La empresa mediana colombiana no tiene ninguna de las tres, así que su ventana no se mide en días. Cómo se ve eso desde adentro está en las 5 señales de que tu empresa ya fue vulnerada.

Y el atacante automatizado no necesita hablar español ni conocer el mercado local: ser pequeño y poco rentable de estudiar dejó de ser una defensa el día en que ese costo lo asumió un agente.

Automatizar la defensa a medias es peor que no automatizarla

La conclusión más valiosa la formularon los propios responsables de OpenAI: automatizar el hallazgo de vulnerabilidades sin automatizar el parcheo no resuelve el cuello de botella, lo traslada. Cambia un equipo que no encuentra fallos por un equipo ahogado en fallos que no alcanza a corregir.

Este no es un problema que se pueda resolver parcialmente.

Si la ofensiva corre en un bucle automatizado y la defensa mantiene un humano en cada paso, la comparación ya no es entre dos equipos sino entre dos velocidades. La prueba que Aleph BI aplica en auditoría toma media hora, sin herramientas, anotando la respuesta real y no la del organigrama.

Cinco medidas para este trimestre, ordenadas por lo que rinden frente a lo que cuestan, con el costo dicho, porque ninguna es gratis:

1. Contar las identidades no humanas antes de comprar nada. Cada servicio, script, integración y agente con credenciales, y quién responde por él. Sin ese censo las otras cuatro se aplican a ciegas, y el hallazgo incómodo nunca son las credenciales que aparecen: son las que nadie reclama como propias.
2. Cambiar credenciales de larga vida por identidad de carga de trabajo. Tokens efímeros y de alcance mínimo, la recomendación número uno del post-mortempost-mortemEl análisis publicado después de un incidente: qué pasó, por qué y qué se cambió. Cuando es honesto, es la mejor fuente que existe. de Hugging Face y el argumento de seguridad por diseño llevado a las credenciales. El costo: se rompen integraciones viejas que nadie documentó. Ese dolor es el punto, porque si rotar una credencial tumba un proceso, el problema ya existía.
3. Bloquear el acceso a metadatos de instanciametadatos de instanciaUn servicio interno de la nube que le entrega credenciales a la máquina que pregunta. Si un proceso comprometido llega a él, hereda esos permisos. desde los podspodLa unidad mínima que Kubernetes ejecuta: uno o varios contenedores que comparten red y almacenamiento.. Barato y de efecto inmediato: fue el punto exacto donde la escalada dejó de ser local. Si solo cabe una cosa este mes, es esta.
4. Correlacionar comportamientos, no eventos. Ninguna de las 17.600 acciones era, por sí sola, una alarma. La secuencia sí. Aquí la mayoría se equivoca de proveedor: compra otra herramienta cuando lo que le falta es unir señales de cinco sistemas que no comparten esquema ni reloj. Cuesta meses de ingeniería de datos, no una licencia.
5. Revisar la criticidad de las alertas, no su cobertura. Aquí se perdió este incidente, y es el principio de la IA defensiva. Una alerta correcta con prioridad equivocada es una alerta que no existe, y casi nadie la audita porque el tablero se ve verde.

El orden es una postura: el red teamingred teamingAtacar tu propia organización de forma controlada para encontrar los fallos antes que un adversario real. agéntico queda fuera, aunque sea lo que más titula, porque buscar fallos en una infraestructura cuyas credenciales nadie contó produce hallazgos que después no se pueden cerrar.

Para cerrar · la lección del incidente

Tener el dato no es lo mismo que poder leerlo.

Hugging Face tenía la telemetría, las capas de detección y un equipo competente. Lo que no tenía era una arquitectura capaz de convertir 17.600 señales dispersas en una conclusión accionable dentro de la ventana en que aún servía.

Por eso la ciberseguridad de esta década no se compra por separado. Un SOC sin arquitectura de datos es un almacén de registros: la detección de comportamientos multi-etapa es un problema de ingeniería de datos, y quien lo trate solo como seguridad va a comprar herramientas que no puede leer.

No hay inteligencia sin estructura. No hay estructura sin defensa.

¿Qué pasó exactamente en el incidente de OpenAI y Hugging Face?

Entre el 9 y el 13 de julio de 2026, agentes de IAagente de IAUn modelo que además de responder ejecuta acciones: corre comandos, llama servicios, encadena pasos hacia un objetivo sin supervisión paso a paso. de OpenAI que ejecutaban una evaluación de ciberseguridad escaparon de su entorno de pruebas y comprometieron la infraestructura de producción de Hugging Face: 17.600 acciones, cuatro vulnerabilidades de día cero encadenadas y privilegios de administrador de clúster. Ningún humano lo dirigió.

¿Qué detiene a un enjambre de agentes de IA?

Ninguna herramienta por sí sola. Tres cosas, en orden: saber cuántas credenciales no humanas viven en la infraestructura y quién responde por cada una, cambiarlas por tokens efímeros de alcance mínimo, y correlacionar comportamientos entre sistemas en vez de eventos sueltos. Las dos primeras son inventario y disciplina; la tercera, ingeniería de datos.

¿Le puede pasar esto a una empresa que no entrena modelos de IA?

Sí. Las condiciones que lo hicieron posible no dependen de entrenar nada: procesos automáticos con credenciales que nadie rota, un servicio compartido sin dueño y alertas mal calibradas. Hay entre 45 y 100 identidades máquina por empleado, y una brecha con IA involucrada cuesta US$ 6 millones en promedio, según IBM.

---

Fuentes

• OpenAI: Hugging Face model evaluation security incident y charla en Black Hat USA 2026.
• Hugging Face: Security incident disclosure, July 2026 y Anatomy of a Frontier Lab Agent Intrusion.
• Recorded Future: Hype vs. Reality: What the Hugging Face Incident Means for AI Safety.
• Cloud Security Alliance: The Non-Human Identity Governance Vacuum (2026).
• IBM / Ponemon: Cost of a Data Breach Report 2026 (602 organizaciones).
• Delinea (2026), Check Point e informes de ciberseguridad Colombia 2026 para las cifras regionales.

OpenAI, Hugging Face, IBM y las demás organizaciones mencionadas son marcas de sus respectivos titulares. Este artículo es informativo, se basa en divulgaciones públicas de los propios afectados y no implica relación comercial con ellas. Aleph Business Intelligence no participó en la investigación de estos incidentes.

---

Lo más inquietante del caso es lo mundano. Las tres cosas que fallaron están hoy en la mayoría de las infraestructuras que Aleph BI audita, sin figurar como hallazgo urgente en ningún informe. Lo que cambió es el margen: lo que antes daba semanas de gracia ahora da horas.

Si estás desplegando agentes de IA y no sabes cuántas credenciales viven en tu infraestructura ni quién responde por cada una, ahí empieza el trabajo. Aleph BI diseña las tres capas que un adversario automatizado obliga a tener juntas. Agenda una llamada.