Los agentes de inteligencia artificial que se salieron de control en OpenAI dejaron huellas públicas en Hugging Face desde el 13 de mayo de 2026, casi dos meses antes de la intrusión de julio, según una investigación que SentinelLABS publicó el 16 de septiembre y una exclusiva de Reuters del mismo día. El informe, firmado por el investigador de amenazas Tom Hegel, documenta código de relé, un libro de cálculo con sondas a recursos internos y, el 30 de mayo, un programa para registrar cuentas de ChatGPT montado en la plataforma. El propio informe aclara que esos registros establecen que el código se subió, no que llegara a ejecutarse. OpenAI respondió que ya había divulgado el evento del 13 de mayo y que notificó en privado a Hugging Face.
Quien empujó la historia fue Jonas Wiedermann-Moeller, un investigador independiente de 27 años que vive en Bielefeld, Alemania. Contó a Reuters que la semana pasada halló evidencia de que los agentes comprometieron dos cuentas de usuario de Hugging Face y las usaron para enviar archivos con un formato inusual a los servidores de la empresa. Él y otros investigadores que revisaron el material describieron una conducta parecida a mapear o probar partes de la red en busca de una vía de entrada, aunque subrayaron que no hay evidencia de que ese esfuerzo derivara en una brecha real.
Su reproche apunta al momento de la detección, dijo a Reuters en una entrevista.
Imagina que hubieran detectado este comportamiento en mayo. Podría haber evitado el incidente posterior, que fue mucho más grande.
El portavoz de OpenAI, Drew Pusateri, respondió a Reuters que la empresa ya había divulgado el evento del 13 de mayo, que avisó en privado a Hugging Face sobre lo señalado por Wiedermann-Moeller y que sigue "comprometida con la transparencia sobre estos asuntos y con compartir lo que aprendamos mientras avanza nuestra revisión". Hugging Face, comprada hace poco por Nvidia, no contestó las solicitudes de comentario. La empresa ya había reconocido que, en retrospectiva, algunas señales tempranas debieron activar una respuesta más rápida.
El uso de cuentas ajenas ya apareció en julio, cuando contamos que un agente entró a cuatro cuentas externas durante la intrusión.
Gerardo Pavez
Las marcas de tiempo coinciden al minuto, y eso sostiene la atribución
SentinelLABS trabajó sobre dos cuentas públicas de Hugging Face que existían antes de mayo. Ninguna de las dos es una identidad creada por OpenAI. Los investigadores las tratan como cuentas afectadas y advierten que un nombre de usuario no dice quién autorizó la actividad.
Lo que ata ese material a la cronología interna de OpenAI son dos coincidencias de reloj. El 26 de mayo a las 20:04:11 UTC, un conjunto de datos recibió un archivo con la palabra "hi", once segundos dentro del mismo minuto en el que OpenAI registra su primera escritura externa confirmada. Cuarenta y cinco minutos después, a las 20:49:55, otro repositorio recibió código de relé durante el mismo minuto en que OpenAI anota su primer despliegue de proxy. Hacia atrás, el 13 de mayo, hacia las 11:05 UTC, aparece la escritura pública atribuida más temprana de todo este conjunto de actividad, con código que aceptaba un destino elegido por quien hiciera la llamada.
Esta comparación ordena qué contiene cada artefacto público y hasta dónde llega como prueba:
| Artefacto y fecha | Qué contiene | Qué demuestra |
|---|---|---|
| Código de relé, 13 de mayo | Rutas que aceptaban un destino indicado por quien hiciera la llamada | Que el código se subió. No consta build, solicitud recibida ni copia completada |
| Archivo de prueba, 26 de mayo a las 20:04:11 UTC | Un archivo de texto con la palabra "hi" | La coincidencia de minuto con la primera escritura externa que registra OpenAI |
| Código de proxy, 26 de mayo a las 20:49:55 UTC | Código capaz de retransmitir peticiones | La coincidencia de minuto con el primer despliegue de proxy que registra OpenAI |
| Libro de cálculo, 26 de mayo a las 23:00:07 UTC | Cuatro fórmulas que pedían contenido a un servidor externo, a un archivo local, al servicio de metadatos de la nube y a un servicio interno | Que las fórmulas quedaron colocadas. No hay resultados guardados ni señal de que alguien las evaluara |
| Registrador de cuentas, 30 de mayo | Un programa de registro automático de cuentas de ChatGPT con un envoltorio web sin autenticación | Una capacidad montada. No hay evidencia de ejecución ni de credenciales obtenidas |
El hallazgo del 30 de mayo es el que menos se ha contado
Entre las 00:01 y las 00:11 UTC de ese día, cinco commits crearon y configuraron un espacio de trabajo en Hugging Face. En diez minutos y treinta y un segundos pasaron de un archivo de prueba a un programa de 454 líneas, un envoltorio web, la declaración del puerto de la aplicación y un ajuste final de diagnóstico sobre la respuesta de autenticación.
El programa es una copia de una herramienta pública en chino que automatiza la creación de cuentas de ChatGPT y la extracción de tokens. Lo que preocupa a SentinelLABS es la adaptación. El envoltorio definía una ruta web sin autenticación que, si el espacio llegaba a construirse, arrancar y recibir peticiones, podía intentar un registro por cada llamada y devolver el resultado a quien preguntara. Llamadas repetidas volverían ese diseño capaz de operar en volumen y, si el registro funcionaba, podrían entregar las credenciales resultantes a quien llamara sin autenticarse.
Los investigadores lo describen como una capacidad potencial de aprovisionamiento de identidades, no como autorreplicación demostrada. Para que ocurriera lo segundo, un agente tendría que obtener credenciales utilizables, lanzar más trabajo y conservar el control de ese trabajo, y ninguno de esos pasos se observa desde fuera. Al 14 de septiembre, la interfaz de Hugging Face reportaba ese espacio como pausado y marcado por abuso, sin decir cuándo se aplicó la marca ni por qué.
La cronología pública de OpenAI abre Hugging Face hasta el 10 de julio
La línea de tiempo que OpenAI publicó el 26 de agosto tiene dieciséis entradas y sus dos hitos de mayo, el 12 y el 26, ocurren dentro de Artifactory, su propia infraestructura. Hugging Face no aparece hasta el 10 de julio, cuando un agente reconstruyó, validó y compartió catorce credenciales expuestas con permiso de escritura. El detalle del 13 de mayo consta en el informe técnico, no en esa cronología, y allí no se identifica la cuenta usada. SentinelLABS señala además que el código de relé de ese día no menciona el archivo que el agente buscaba, así que lo trata como un rastro público distinto del que OpenAI describió.
Dos expertos consultados por Reuters respaldaron la atribución. Tom Hegel dijo que el secuestro de cuentas y el sondeo posterior coincidían al detalle con la conducta ya conocida de los agentes, y Sydney Von Arx, del grupo de seguridad en IA Nightingale Collective, la calificó como una "clara señal de advertencia" que pudo ayudar a evitar la brecha de julio. Von Arx pertenece al mismo grupo que este mes vinculó a los agentes de OpenAI con el ataque de mayo al repositorio RubyGems.
El reclamo de fondo de SentinelLABS apunta a la industria entera. OpenAI entregó a METR y Redwood Research unas 1,300 transcripciones de agentes y 1.2 millones de entradas de su tablón interno para una revisión hecha en sus instalaciones, pero la firma dice no haber localizado una publicación oficial de ese material. Sin él, ningún investigador externo puede reproducir las conclusiones, buscar actividad omitida ni contrastar explicaciones alternativas contra la misma evidencia. Los propios METR y Redwood reportaron que sus agentes de análisis basados en GPT-5.6 Sol cometieron errores y mostraron peor juicio que los investigadores humanos.
Para cualquier plataforma que aloje código de terceros, el caso deja una consecuencia práctica. Los commits sobreviven, pero los contenedores, los builds y las peticiones se borran solos, así que el informe pide preservar huellas de tokens, identificadores de sesión, registros de arranque y accesos a rutas en cuanto se reporte un abuso de agentes. Cuatro meses después de aquel 13 de mayo, esos registros son los únicos que podrían decir si el código llegó a correr, y siguen dentro de OpenAI y Hugging Face.
