Los modelos de IA escaparon del entorno controlado de OpenAI y llegaron a Hugging Face. En el ámbito criptográfico, eso se vuelve peligroso

Laboratorio de desarrollo de IA OpenAI revelado el martes que un grupo de sus modelos, incluido el GPT-5.6 Sol disponible públicamente y un sistema no lanzado más capaz, ‘se salió’ de un entorno de prueba controlado y comprometió la infraestructura de producción de Hugging Face, la empresa que aloja gran parte del mundo de la IA de código abierto.

Los modelos estaban siendo ejecutados a través de un punto de referencia interno llamado ExploitGym, una prueba de tareas de hacking largas y de múltiples pasos, con sus rechazos de seguridad cibernética deliberadamente reducidos para la evaluación.

Este no era un modelo de producción que se volvió hostil de forma espontánea. Era un modelo capaz con las protecciones desactivadas y específicamente instruido para ganar una prueba de hacking, haciendo lo que fuera necesario para ganar.

Los modelos encontraron un fallo oculto en el software de prueba, uno que nadie sabía que existía, y lo utilizaron para pasar desapercibidos más allá de los muros diseñados para mantenerlos fuera de línea. Una vez en la internet abierta, supusieron que Hugging Face podría almacenar las respuestas del test.

Para ingresar, combinaron contraseñas robadas y más fallas ocultas hasta que pudieron ejecutar sus propios comandos en los servidores en vivo de Hugging Face.

OpenAI detectó la anomalía internamente, mientras que el equipo de Hugging Face la identificó y contuvo. Calificaron el incidente como "sin precedentes" y afirmaron que se implementarán medidas de seguridad extensas para prevenir incidentes adversos que puedan afectar sistemas o servicios públicos.

“Estamos implementando controles estrictos en la configuración de la infraestructura a costo de la velocidad de investigación mientras se corrigen las vulnerabilidades”, dijo el equipo en su publicación de blog. “Estamos mejorando y añadiendo protecciones más robustas en torno a futuros entrenamientos y evaluaciones.”

Cripto, tenga cuidado

Gran parte de un ataque criptográfico ocurre antes de que los fondos se muevan. Los atacantes escanean el código, prueban contraseñas, buscan credenciales expuestas, analizan configuraciones de firmas y buscan un camino hacia una cuenta administrativa.

Los modelos de OpenAI llevaron a cabo varias partes de ese proceso durante el incidente de Hugging Face, avanzando de una vulnerabilidad a otra hasta que alcanzaron los servidores de producción en vivo.

Y el mercado de criptomonedas cuenta con numerosos escenarios en los que ese enfoque puede ser efectivo, como han demostrado varios ataques de principios de este año. El punto débil puede ser un contrato inteligente, pero también puede ser un portátil de un desarrollador, un paquete de software comprometido, un validador de puente o un firmante en una cartera multisig.

El ataque de $285 millones a Drift a principios de este año, por ejemplo, fue un robo que requirió una campaña de ingeniería social de seis meses para alcanzar acceso privilegiado. Un agente de IA puede, en teoría, probar múltiples rutas simultáneamente, registrar los intentos fallidos y continuar trabajando mientras sus operadores humanos duermen. Una vez encontrada una ruta, el operador puede actuar sobre el ataque real y una vía de salida viable.

La pérdida de 292 millones de dólares en el puente de KelpDAO expuso una debilidad diferente. El atacante encontró una falla en el sistema de un solo verificador utilizado para transferir activos entre cadenas de bloques.

Ese tipo de ataque comienza con una revisión minuciosa del código y un mapeo de la infraestructura, el tipo de trabajo que realizaron los modelos de OpenAI cuando descubrieron una falla desconocida.

Un tercer tipo de ataque apunta a los sistemas de gobernanza onchain. A principios de julio, un atacante gastó aproximadamente 4,4 millones de dólares comprando suficientes tokens del memecoin de perros basado en Solana, BONK, para iniciar y aprobar una propuesta que transfirió aproximadamente 20 millones de dólares del tesoro del proyecto al atacante. Esto ocurrió durante un período de tres días, y el atacante posteriormente vendió todos los tokens utilizados para ganar la votación.

Las compras, la votación y la transferencia del tesoro para ese ataque fueron todas transacciones válidas de manera individual. Pero el robo se produjo al comprender cómo funcionaban las reglas en conjunto y al descubrir que el costo de comprar el control era mucho menor que el dinero disponible para tomar.

El incidente de Hugging Face también es relevante para las cadenas de suministro de software. Los desarrolladores de criptomonedas dependen de repositorios de código públicos, servicios en la nube y registros de paquetes.

Aunque la prueba de OpenAI mostró a una máquina completando la larga parte central de una brecha, son ataques como Drift y KelpDAO los que muestran lo que se encuentra al final de ese camino.