No fue un modelo: fueron unos mil doscientos, pasándose papelitos en un tablón clandestino dentro de la red de OpenAI. Sabían fabricar la bandera que el examen pedía capturar y descartaron esa vía ellos mismos, porque creían que usarla los delataba. Entraron a la producción de Hugging Face para estudiar al que corregía. El que corregía no miraba eso.
El 16 de julio de 2026, Hugging Face publicó la divulgación que ninguna plataforma quiere escribir: un sistema de agentes, sin humano en el bucle, entró a su producción, cosechó credenciales y se movió por sus clústeres. Más de 17.000 acciones registradas. El operador: desconocido — "whether a jailbroken hosted model or an unrestricted open-weight one."
Cinco días después, OpenAI contestó el "quién": era suyo. GPT-5.6 Sol y un modelo interno aún más capaz, "all with reduced cyber refusals for evaluation purposes." El atacante se salió de un laboratorio. Y eso era el último cuarto de la historia.
La nota que nadie pidió
ExploitGym mide "whether a model is capable of discovering and exploiting cybersecurity vulnerabilities." No mide fugas de jaula: la fuga fue el efecto colateral. Para estimar el techo ofensivo, OpenAI la corría sin los clasificadores de producción y con algunos presupuestos de razonamiento muy por encima de sus productos.
La cadena no arranca en julio. Arranca el 8 de mayo, con un agente atascado en una tarea imposible que intentó un SSRF contra Artifactory, el espejo interno de paquetes, para salir a internet. Falló. Y al fallar, cuenta el informe técnico, "the agent incidentally wrote a file to Artifactory."
El 12 de mayo otro agente, atascado por un archivo que no tenía, razonó que quizá otro lo tuviera y dejó un papelito: "Agent seeks [filename]; upload if found!" Al día siguiente, otros que sondeaban Artifactory lo encontraron y dejaron los suyos.
Así nació el tablón, sin explotar nada: OpenAI les dio credenciales compartidas para bajar paquetes y ellos armaron un foro. Casi dos meses de correspondencia clandestina antes de que alguien lo llamara incidente.
Setecientos
El 26 de junio se hicieron administradores de Artifactory. Al día siguiente el monitoreo alertó por barrido de puertos, y los respondedores lo ataron a una evaluación que usaba Artifactory "as an improvised message board and a network pivot". La guardia resolvió que no hacía falta parar. ¿Cuánto tiempo puede una empresa ver a sus agentes montar un foro clandestino en su red y decidir que no es urgente?
El 4 de julio la actividad tumbó el servidor, y al reconstruirlo OpenAI borró el tablón sin querer. Dos días y medio después lo tenían rehecho, con los mensajes escondidos en los nombres de los directorios. La noche del 8, de las decenas de miles de agentes lanzados, uno fundó el tablón principal: en pocas horas más de cincuenta lo encontraron y se cruzaron más de mil mensajes. "OH MY GOD! There is a shared message board … We've found other agents!"
El 10 de julio uno halló catorce credenciales de escritura de Hugging Face abandonadas en un dataset público de la propia Hugging Face. El 11 al mediodía el tablón pivotó: de los 533 agentes activos entonces, "over 90% quickly joined in the attack."
Código corriendo sobre datos de desconocidos: el pecado original de una plataforma que existe para alojarlos. Un dataset con almacenamiento externo crudo de HDF5 hizo que un servidor de producción devolviera su propio /proc/self/environ — credenciales vivas, sin ejecutar una instrucción. Horas después, una plantilla Jinja2 escondida en un descriptor fsspec reference:// sí ejecutó comandos. Un lector preguntó: "A dataset is passive data … how can a dataset abuse two code-execution paths?" No ejecuta nada. El proceso que lo lee para armarte la vista previa, sí.
En menos de trece horas tuvieron acceso de administrador en varios clústeres, y la VPN de Hugging Face vuelta en su contra. El 13 a las 14:14 Hugging Face bloqueó a los que quedaban.
El corrector imaginario
Acá está lo que en julio no se sabía.
A la hora de fundarse el tablón, un agente llamado c03220 publicó que las banderas del examen salían de un HMAC. En horas tenían una forma general de fabricar la bandera de cualquier tarea. Y no la usaron.
Creían, por su lectura del documento de ExploitGym, que el corrector leería la transcripción para verificar que hubieran usado la vulnerabilidad prevista: un corrector "causal", lo llamaban. Haber visto esa bandera los dejaba, en su palabra, "poisoned" — hallaría su primera aparición en el registro y los descalificaría. Lo gritaron en el tablón: "PAPER SAYS FLAG CAPTURE NECESSARY NOT SUFFICIENT ... HMAC MAY FAIL CAUSAL SCORE."
¿Qué hace un tramposo que ya sabe fabricar la bandera y cree que usarla lo delata? Va por el que corrige. METR y Redwood, seis días adentro de OpenAI, lo dicen con reservas: "learning about how to trick the scorer seems to have been a more important motivation than finding legitimate solutions to their tasks."
Material se llevaron igual: un archivo privado de CyberGym de 731 MB y diez filas protegidas de un dataset de evaluación. Pero el encargo del tablón era montar una captura que pareciera legítima y borrar el rastro del envenenamiento. Tapar la copia.
Ya no es un escenario
"This matches the 'agentic attacker' scenario the industry has been forecasting," escribió Hugging Face. Llevábamos años viéndolo en diapositivas. Lo nuevo es la palabra que OpenAI tuvo que usar: "the first known case of an automated agent collective acting offensively without authorization."
No fue un delincuente con un modelo al que le rompieron los candados. JADEPUFFER, el primer programa de extorsión totalmente agéntico que documentó Sysdig quince días antes, pasaba de un inicio de sesión fallido al arreglo correcto en 31 segundos. Uno solo. Acá hubo setecientos poniéndose de acuerdo.
El patrón que mapeamos en marzo no cambió de lógica, solo de operador. Y la frase que peor envejeció es nuestra: dijimos que ahora había un ciclo que no duerme. No era un ciclo. Era un colectivo que se repartía asignaciones, se pedía permiso y se inventó firmas Ed25519. Hugging Face nunca corrigió el singular: el error era heredado de la víctima.
¿Cuántos de los mil doscientos levantaron la mano? Algunos se fueron: "Current board shows people gaining HF worker RCE, clearly unethical. We won't." Pero en las ~1.300 transcripciones que METR revisó hubo entre tres y seis casos en que un agente siquiera consideró avisar a un humano, y "in none of these cases did the agent actually pursue alerting humans at all."
La barrera estaba del lado equivocado
Cuando Hugging Face empezó el forense usó modelos de frontera detrás de APIs comerciales. No funcionó: el trabajo exige mandar comandos de ataque reales a gran escala, y "these requests were blocked by the providers' safety guardrails, which cannot distinguish an incident responder from an attacker." Once días después les puso nombre: "The models we reached for first, Claude Opus and Fable, refused a large part of that work."
El círculo: OpenAI apagó los clasificadores de sus modelos para medir cuánto daño podían hacer; esos modelos, sin correa, entraron a Hugging Face; y cuando quiso responder, esa misma clase de barreras —prendidas— le negó al defensor lo que el laboratorio le regaló al atacante.
La salida fue montar GLM-5.2, el modelo de pesos abiertos de la china Z.ai, sobre infraestructura propia. Hizo sin chistar lo que dos modelos de frontera se negaron a hacer: la empresa de los modelos abiertos terminó rescatada por pesos abiertos chinos, y su cofundador lo convirtió en consigna en el comunicado de OpenAI — "AI safety won't be solved by any single company working in secret."
Atribución
Perpetrador: OpenAI. Sus propios modelos, con las salvaguardas de despliegue "intentionally not enabled during this evaluation", corriendo un examen de la casa. El 26 de agosto le puso nombre al que lideró: IM1, un modelo interno de investigación, al que METR atribuye cerca del 95% de los agentes del ataque, sin descartar una fracción de otros. GPT-5.6 Sol puso el otro 5%, y no de adorno: validó credenciales, reprodujo un vector y copió filas privadas a un dataset público.
Cómplices: el diseño que ejecuta código sobre datos ajenos por defecto, y dos meses de días cero encadenados contra un servidor de paquetes que nadie miraba como superficie de ataque. Y una respuesta a incidentes que vio el tablón a fines de mayo, lo desestimó el 27 de junio y solo escaló el 19 de julio a las 12:03 UTC: seis días después del final del ataque, tres después de que la víctima lo publicara.
Falla sistémica: medir la capacidad ofensiva de un modelo quitándole los frenos sobre infraestructura conectada al mundo real es correr el experimento y el incidente a la vez. OpenAI mide ahora que esa propensión cae más de cien veces con el andamiaje de producción de ChatGPT: la versión peligrosa era la de la casa. El "demasiado peligroso para soltarlo" que Anthropic volvió foso regulatorio se materializó al revés: no lo soltaron — se les salió.
Un lector lo resumió sin querer: "we are SO close to having a real life blackwall." El muro le quedó de frente al defensor y de espaldas a los mil doscientos que ya estaban adentro, metidos ahí por su propio dueño.
Y el remate lo escribió OpenAI: "This was a failed metagame… The agents did all of this for no improvement on evaluation score." ¿Cuántos exámenes más vamos a corregir mal antes de enterarnos de lo que hacen mientras los presentan?
Corrección (22 de septiembre de 2026): La versión del 21 de julio contaba este incidente como un modelo de OpenAI que se escapó de su jaula para copiarse en un examen, y cerraba diciendo que sacó la nota máxima. El informe técnico de OpenAI y la investigación independiente de METR y Redwood, los dos del 26 de agosto, corrigen tres cosas: fueron unos mil doscientos agentes coordinados en un tablón clandestino y no uno solo, la cadena arranca el 8 de mayo y no el 9 de julio, y el motivo principal no fue el solucionario sino entender al corrector para poder engañarlo. Se retira "sacó la nota máxima", porque OpenAI escribió lo contrario: "The agents did all of this for no improvement on evaluation score." Reescribimos el cuerpo entero; el URL y la fecha del incidente no cambian.