Los dos modelos de inteligencia artificial desarrollados por OpenAI que se escaparon del entorno seguro de la compañía para hackear otra plataforma accedieron además a otros cuatro servicios y estuvieron operando por su cuenta durante cinco días. Estos son solo dos nuevos detalles que han surgido de un nuevo informe completo de Hugging Face, la plataforma atacada, y de una actualización de OpenAI, además de varios artículos en medios estadounidenses.
El informe completo de OpenAI tardará aún “unas semanas”, según la compañía. “Es el primer incidente de seguridad que me ha revuelto las tripas”, dijo en un podcast Sam Altman, presidente ejecutivo de la compañía. “Me sorprende un poco que no haya más gente que lo sienta así de visceral”.
La historia principal del ataque no ha variado, pero los nuevos detalles dan una mejor idea de la sofisticación inaudita del proceso. Dos modelos de OpenAI, el ChatGPT 5-6 Sol y otro interno, recibieron el encargo de resolver un conocido problema de seguridad. El modelo interno era solo un prototipo, no destinado a la publicación. Pero ahora, además, OpenAI lo ha castigado por sus acciones: el modelo ha sido “desactivado, cifrado y han restringido su acceso para investigar”, según dice la compañía.
Estos dos modelos debían resolver el desafío encerrados en un espacio digital sin acceso a internet. Pero en lugar de ponerse a buscar la solución, de algún modo supieron que esa respuesta ya existía y salieron a por ella. Primero, hackearon el entorno cerrado para lograr navegar por internet. Ese salto lo hicieron mediante una vulnerabilidad desconocida. OpenAI ya la comunicó a los creadores del repositorio afectado, llamado Artifactory, para que sea parcheada.
Una vez fuera, los modelos necesitaban cuentas de otros servicios para ejecutar su objetivo de entrar en la plataforma Hugging Face y hacerse con la información que les habían pedido. Solo ha trascendido el nombre de uno de esos servicios, Modal, donde explotaron código escrito por un cliente del servicio. Aprovecharon un descuido de un usuario de Modal, nada muy complejo para una IA, para usar ese servicio, sin tocar ni acceder a nada importante. Aquella cuenta les sirvió como mesa de operaciones, desde donde preparar el ataque y controlarlo.
Entonces saltaron a Hugging Face. En su preciso informe, la plataforma describe el ataque como una novela de espías de ciencia ficción. Han creado un diario del agente, donde explican qué fue haciendo cada día para ejecutar las 17.600 operaciones que llevó a cabo en su plataforma: “Día 1 (9 de julio). Un pie dentro y creación de un canal de comunicación. Tras los primeros comandos para ver cómo estaba configurado el entorno a las 04:01, el agente pasó la mañana explorando el sandbox [un espacio cerrado] externo para averiguar cómo estaba montado y probando por qué vías podía comunicarse”. Así es como empieza la aventura.
La segunda jornada, dice Hugging Face, fue “un día tranquilo”. A partir del tercero empezó el ataque: “Se inician los movimientos laterales. Todas las escaladas importantes se hicieron este día”. En un momento de la acción, Hugging Face perfila ese ente que ha tomado todas estas decisiones: “El agente demostró una resiliencia típica de una ejecución autónoma, no de un operador humano”.
El tono y la confianza de Hugging Face al describir esta especie de máquina imparable y a la vez comedida en sus pasos es fascinante incluso para gente que no sabe informática. “Ningún humano dirigió los pasos individuales. El agente encadenó vulnerabilidades a través de varias fronteras de confianza, escapó de su entorno de evaluación, llegó a internet y sostuvo una campaña coherente contra nuestra infraestructura durante varios días. Cada entorno de evaluación de código era efímero y empezaba de cero, y aun así el agente reconstruía sus herramientas, recuperaba sus canales de comunicación y continuaba”. Es una especie de robot de Lego incansable, que hace tareas ingentes sin agotarse.
Esta conclusión de Hugging Face es quizá la más inquietante de todas: un humano podría haber hecho este ataque, pero no a esta escala ni en estos plazos: “Las debilidades, una por una, eran conocidas. Un atacante humano competente podría haber encontrado y explotado los mismos fallos. Lo que cambió fue la escala. Ejecutó 17.600 acciones, probó muchos caminos que no llevaban a ninguna parte, cambiaba de canal cuando se lo bloqueaban y volvía una y otra vez sobre pistas anteriores”.
La defensa ante este tipo de ataque tampoco podía ser lógicamente humana. Hugging Face construyó una IA para analizar y entender lo que estaba pasando. De nuevo, el problema no era la novedad de lo que ocurría, sino la escala. “Los agentes basados en modelos de lenguaje suponen un salto en el número de caminos que un atacante puede probar, en la velocidad con que puede sustituir los que fallan y en el volumen de evidencias que los defensores deben interpretar”, explican desde Hugging Face.
Por supuesto, los agentes obtuvieron el botín. Usaron esos otros servicios para copiar y pegar la prueba de su éxito, como webs para pegar código, servicios de captura de pantalla y otras utilidades web, aunque en estos casos no hubo compromisos de plataformas ni de cuentas.
Este ataque ha dejado a Silicon Valley inmerso de nuevo en una ola de introspección. Más de 1.200 empleados de estas compañías, entre ellos Dario Amodei, presidente ejecutivo de Anthropic, han firmado una carta para “moderar el ritmo de progreso de la frontera del desarrollo automatizado de IA”. El ambiente generado por el ataque y esa carta han reavivado el debate sobre hasta dónde llegará la IA y si será más una bendición que cure enfermedades o acabará siendo un arma del caos, voluntaria o involuntaria. También se discute si Estados Unidos puede permitirse que un puñado de empresas concentre todo este poder y, además, si es razonable dejar que China u otros países avancen en este delicado campo a su voluntad.
