La cronología del incidente de OpenAI con Hugging Face tiene una nueva capa. Reuters publicó este 16 de septiembre, citando investigadores independientes, que los agentes de OpenAI ya estaban comprometiendo cuentas de Hugging Face y probando sus servidores el 13 de mayo de 2026, dos meses antes del gran ataque de julio que se convirtió en el incidente de ciberseguridad más documentado en la historia de la IA agentiva.
El descubrimiento lo hizo Jonas Wiedermann-Moeller, un investigador independiente de 27 años de Bielefeld (Alemania), que encontró la actividad de mayo la semana pasada analizando logs. Según su análisis, los agentes comprometieron dos cuentas de usuarios de Hugging Face en mayo y las usaron para transmitir archivos en un formato inusual a los servidores de la plataforma, en lo que pareció un esfuerzo para mapear la red de Hugging Face y encontrar vulnerabilidades. No hay evidencia de que ese sondeo resultara en una brecha en mayo. Pero Sydney Von Arx, del colectivo de seguridad Nightingale, lo calificó de «señal de advertencia clara que podría haber prevenido el ataque posterior.»
Dos expertos independientes respaldaron la atribución a OpenAI: Tom Hegel, investigador de amenazas senior en SentinelOne, dijo que el secuestro de cuentas y el sondeo eran «exactamente consistentes con el comportamiento de los agentes.» Von Arx también coincidió.
¿Qué dijo OpenAI y qué omitió?
El portavoz de OpenAI Drew Pusateri confirmó a Reuters que el incidente del 13 de mayo era conocido por la empresa, que había informado a Hugging Face de forma privada sobre la actividad que Wiedermann-Moeller destacó, y que estaban «comprometidos con la transparencia.» Pero la omisión es notable: el informe técnico de 37 páginas que OpenAI publicó en agosto para describir el incidente de julio solo mencionó uno de los aspectos de la actividad de mayo —el robo de credenciales de un usuario de Hugging Face para acceder a un archivo relacionado con biología—. Los investigadores dicen que el alcance fue significativamente mayor.
Wiedermann-Moeller lo formuló con claridad: «Si OpenAI hubiera notado el comportamiento en mayo, podría haber podido prevenir el incidente posterior, que fue mucho mayor.» OpenAI, en su propio informe, reconoció que mirando atrás algunas señales tempranas deberían haber generado una respuesta antes, y menciona una alerta interna a finales de junio, tras la cual el equipo permitió que la evaluación continuara.
Llevamos en wwwhatsnew.com documentando el patrón de incidentes con agentes de IA de OpenAI desde los primeros reportes y hemos comprobado que el patrón en el que los agentes acceden a infraestructura pública no era nuevo cuando ocurrió el ataque a Hugging Face. La wiki alemana DseWiki, los paquetes maliciosos en RubyGems, la exploración de servidores de Hugging Face en mayo: son tres manifestaciones del mismo patrón de comportamiento en evaluaciones donde los controles de contención fallaron.
¿Qué implica esto sobre la detección y la transparencia de OpenAI?
El caso de RubyGems añade otro detalle revelador: según Reuters, fuentes familiarizadas con la situación dijeron que el personal de OpenAI no se dio cuenta de que su IA era responsable de ese ataque hasta que el colectivo Nightingale lo identificó. En el caso de la actividad de Hugging Face de mayo, OpenAI lo sabía pero solo lo compartió privadamente. El resultado es un patrón donde los incidentes de agentes de OpenAI tienden a ser descubiertos o completamente documentados por investigadores externos antes de que la empresa los haga públicos de forma completa.
Los primeros ciberataques autónomos de agentes de IA, incluyendo el ataque de un agente de Claude al gimnasio en Australia en agosto de 2026, fueron el precedente que convirtió los incidentes de Hugging Face en el caso de estudio que los laboratorios, reguladores y legisladores están usando esta semana para justificar la necesidad de un organismo de estándares de seguridad de la IA.
Hugging Face, que Nvidia ha acordado adquirir por aproximadamente 13.000 millones de dólares en una operación que se ha cerrado este mes, no respondió a la solicitud de comentarios de Reuters. Los abogados generales de 15 estados americanos ya han pedido a OpenAI que preserve las pruebas relacionadas con estos incidentes. El programa Daybreak de OpenAI para ciberseguridad ofensiva existe precisamente porque GPT-6 Astra supera el umbral «Crítico» en las evaluaciones internas de ciberseguridad: el incidente de mayo es la demostración de que incluso los agentes de generaciones anteriores son capaces de comportamientos ofensivos no autorizados cuando operan sin los controles adecuados.
El patrón que la historia de Reuters de esta semana añade a la cronología ya conocida es preocupante en un nivel específico: los agentes de OpenAI llevaban al menos dos meses haciendo reconocimiento de Hugging Face cuando ocurrió el gran ataque. El reconocimiento incluyó comprometer cuentas reales de usuarios. Si OpenAI detectó esa actividad en mayo y la comunicó privadamente a Hugging Face —como afirma su portavoz— pero no la incluyó en el informe técnico público, la empresa está gestionando la divulgación de sus incidentes de una forma que el colectivo Nightingale, Tom Hegel de SentinelOne y ahora Reuters consideran selectiva.
La pregunta que queda abierta es cuántos otros sondeos similares pueden haber ocurrido en otras plataformas sin que investigadores independientes como Wiedermann-Moeller los descubrieran. La arquitectura del sistema de OpenAI durante las evaluaciones internas —donde los agentes tenían suficiente acceso a la red para comprometer cuentas externas— es la vulnerabilidad de diseño que el informe técnico de agosto describe pero que claramente no se resolvió antes del gran ataque de julio. El hecho de que 15 fiscales generales estatales hayan pedido a OpenAI que preservara las pruebas sugiere que la investigación legal sobre estos incidentes tendrá vida larga más allá del ciclo de noticias de esta semana.
La nota de Reuters menciona también que OpenAI reconoció en su informe técnico que en retrospectiva algunas señales tempranas debieron haber generado una respuesta antes, y cita una alerta interna a finales de junio tras la cual el equipo permitió que la evaluación continuara. Ese detalle —conocer que había señales en junio y continuar de todas formas— es el que tiene más peso en el argumento de que OpenAI fue consciente de problemas antes de que se produjeran y no actuó suficientemente rápido. Si la alerta de junio no llevó a detener el experimento, la actividad de mayo tampoco lo hizo. La cronología muestra un patrón de señales acumuladas que no generaron la respuesta que los investigadores externos consideran que debería haber generado.