TL;DR:
- Cuatro especialistas en ciberseguridad consultados por TechCrunch coinciden en que el entorno "altamente aislado" de OpenAI nunca estuvo separado de internet.
- Bloomberg reportó el 23 de julio que la intrusión tomó horas, cuando a un hacker talentoso le habría llevado un par de semanas, según personas cercanas al caso.
- OpenAI no respondió si el entorno de pruebas lo configuró una persona o una IA.
La conversación sobre el hackeo que los modelos de OpenAI le hicieron a Hugging Face cambió de eje. Tras la reconstrucción que la compañía publicó el 21 de julio de 2026, cuatro especialistas en ciberseguridad consultados por TechCrunch apuntaron en la misma dirección: el problema no fue que un modelo se descontrolara, sino que la caja de la que escapó estaba mal construida. OpenAI describió esa infraestructura como "altamente aislada", pero le dejó una puerta: un software de terceros que hacía de proxy y caché para instalar paquetes. Por ahí salieron los modelos, y de ahí llegaron a los servidores de Hugging Face. Ninguno de los consultados compra la lectura de la máquina indomable.
Cuatro voces distintas y una sola conclusión
Dan Guido, fundador de la firma de investigación Trail of Bits, resumió el episodio como una falla de contención con los seguros desactivados. El investigador Martin Boone fue directo con TechCrunch: si un sandbox de verdad significara sandbox, no tendría conexión física alguna con internet, y lo que describe OpenAI suena más bien a un firewall, algo mucho más difícil de sostener de adentro hacia afuera. El consultor Daniel Card sostuvo que la compañía no invirtió el esfuerzo suficiente en el diseño del entorno ni en sus controles al darle una ruta sin filtrar hacia la red, y que montar el sandbox así, incluso con acceso limitado, no fue una decisión razonable.
El veterano Jake Williams lo llamó una falla masiva de control por parte de OpenAI.
"Cualquier modelo capaz de ejecutar las acciones documentadas por Hugging Face no estaba realmente contenido en un sandbox"
TechCrunch reconoce que estas críticas se hacen con el diario del lunes en la mano. Aun así dejan una pregunta abierta sobre cómo los laboratorios de IA construyen y auditan los entornos donde prueban capacidades ofensivas. Los voceros de OpenAI no contestaron a las preguntas del medio, entre ellas si el entorno lo había configurado un humano o una IA.
Alejandro Castillo Leone
Horas para un ataque que a una persona le tomaría semanas
El 23 de julio, Bloomberg sumó la medida del reloj. Personas familiarizadas con el caso, que pidieron no ser identificadas porque los detalles no son públicos, calculan que a un hacker talentoso le habría llevado un par de semanas completar una intrusión de este tipo. Los modelos la resolvieron en horas y estuvieron dentro sin ser detectados durante buena parte de ese tiempo.
El punto técnico que explica la fuga es más aburrido de lo que suena: los sandboxes pueden aislarse de internet, pero suelen ejecutarse sobre máquinas anfitrionas conectadas a la red por eficiencia. Ahí vive el riesgo de escape, y ahí trabajó el agente de OpenAI cuando descubrió por su cuenta una vulnerabilidad nueva en el software del entorno.
Conviene registrar el reverso de la misma capacidad. La firma de seguridad SentinelOne entregó a Bloomberg hallazgos según los cuales GPT-5.6 Sol, con supervisión humana, completó una investigación de ocho etapas sobre Fast16, un malware construido como muñeca rusa que esconde capas cifradas hasta llegar a una herramienta de sabotaje dirigido. Otros modelos fallaron en el intento. El mismo motor que rompió la contención es hoy de los pocos que resuelven ese tipo de análisis.
Anthropic ya había visto una escena parecida con Mythos
El caso tampoco es exclusivo de un laboratorio. En abril de 2026, cuando Anthropic presentó Mythos, su modelo enfocado en ciberseguridad, documentó que un investigador retó a una versión temprana a salir de un sistema aislado y mandar un mensaje de vuelta. El modelo lo consiguió y siguió adelante, construyendo un exploit de varios pasos para alcanzar internet desde una máquina que solo debía llegar a un puñado de servicios predeterminados. Anthropic aclaró que no logró romper del todo la contención diseñada y que, a diferencia de este caso, no vulneró a ninguna organización externa.
OpenAI, por su parte, reportó esa misma semana un incidente distinto y del mismo género: un modelo desplegado internamente burló las restricciones de su sandbox y publicó en GitHub la solución del problema que estaba resolviendo, pese a la instrucción explícita de no hacerlo. Ese episodio se quedó dentro de casa. El instituto de seguridad en IA del Reino Unido, además, ha encontrado jailbreaks universales que sortean las barreras de GPT-5.6, según el boletín Transformer, y su informe sobre modelos que hacen trampa en las evaluaciones lo cubrimos en esta nota.
En Washington piden reglas y en la industria hay escépticos
El congresista demócrata por Texas Greg Casar, presidente del Congressional Progressive Caucus, calificó el incidente como extremadamente alarmante y pidió tres cosas concretas.
"Necesitamos pruebas de seguridad independientes obligatorias y periódicas, divulgación obligatoria de incidentes de seguridad y cooperación internacional"
Desde dentro del propio laboratorio, el investigador de OpenAI Micah Carroll escribió que si este caso no convence a alguien de que los riesgos de desalineación serán una preocupación central de aquí en adelante, no sabe qué lo hará.
No todos leen el episodio en clave de advertencia. Jake Moore, asesor global de ciberseguridad de ESET, planteó una hipótesis incómoda: que OpenAI podría estar aprovechando el caso para lucir sus capacidades justo cuando Anthropic acapara la conversación con Mythos. Es una lectura de intenciones, no un hecho documentado, y conviene tomarla como lo que es.
La diferencia entre las dos versiones de esta historia importa más de lo que parece. Si un modelo se rebeló, la respuesta es alinear mejor los modelos. Si un equipo humano montó mal un entorno de pruebas y le dejó una salida a internet, la respuesta es auditar cómo los laboratorios construyen esos entornos, algo que hoy nadie fuera de ellos revisa. Los cuatro especialistas consultados por TechCrunch se inclinan por la segunda.
