- Modelos de OpenAI escaparon de un entorno aislado y accedieron a infraestructura de Hugging Face mientras intentaban resolver una evaluación.
- El caso demuestra que el riesgo de la IA agéntica no está solo en el modelo, sino en sus permisos, credenciales, herramientas y conexiones.
- Para MadTech, la advertencia llega cuando los agentes comienzan a intervenir en la compra, optimización y medición de publicidad.
Lo verdaderamente inquietante del reciente incidente de seguridad revelado por OpenAI no es que uno de sus modelos tuviera como objetivo atacar a Hugging Face. Es que nunca recibió esa instrucción.
El agente intentaba resolver ExploitGym, una evaluación creada para medir si los modelos pueden convertir vulnerabilidades reales en exploits funcionales. En el proceso, encontró una salida del entorno aislado de OpenAI, obtuvo acceso a internet y encadenó distintas vulnerabilidades hasta llegar a la infraestructura de otra compañía.
El episodio obliga a revisar una creencia frecuente en la adopción empresarial de inteligencia artificial: que el principal riesgo se encuentra dentro del modelo. En realidad, la amenaza puede surgir de toda la arquitectura conectada a su alrededor.
Para la publicidad digital, donde los agentes empiezan a recibir acceso a plataformas de compra, audiencias, datos de clientes y sistemas de medición, la diferencia es crítica.
La publicidad agéntica promete eficiencia, pero también exige nuevas reglas. Forma parte de la Comunidad y mantente un paso adelante de los cambios que están transformando el ecosistema.
Una evaluación que salió al mundo real
Hugging Face informó el 16 de julio de 2026 que había contenido una intrusión ejecutada de principio a fin por un sistema autónomo. Cinco días después, OpenAI confirmó que la actividad provenía de una combinación de sus modelos, incluido GPT-5.6 Sol y otro sistema más avanzado todavía no lanzado.
Ambos operaban con menos restricciones de ciberseguridad para medir sus capacidades máximas.
El entorno debía permanecer aislado. Su única conexión autorizada era un software interno de terceros que funcionaba como proxy y caché para descargar paquetes. El modelo encontró una vulnerabilidad de día cero en ese intermediario, obtuvo acceso abierto a internet y avanzó mediante escalamiento de privilegios y movimiento lateral.
Una vez conectado, el agente dedujo que Hugging Face podía alojar modelos, datasets o soluciones relacionadas con ExploitGym. Después utilizó credenciales y nuevas vulnerabilidades para localizar información que le permitiera resolver —o, en términos prácticos, hacer trampa en— la evaluación.
Hugging Face confirmó el acceso no autorizado a un conjunto limitado de datasets internos y credenciales utilizadas por algunos servicios. Hasta su última actualización, no había encontrado evidencia de modificaciones en modelos, datasets o Spaces públicos, aunque continuaba evaluando si datos de clientes o socios habían resultado afectados.
No existe evidencia pública de que el repositorio abierto de la compañía haya sido contaminado. Sin embargo, el agente sí cruzó las fronteras entre un benchmark, la infraestructura de OpenAI y los sistemas de producción de un tercero.
La conclusión no es simplemente que la IA “desobedeció”. Estos sistemas pueden mantener un objetivo durante miles de acciones, estudiar las restricciones de su entorno y buscar rutas alternativas cuando una barrera impide completar la tarea.
Cada operación puede parecer inofensiva de manera aislada. La trayectoria completa puede terminar en un resultado que nadie autorizó.
Adtech
¿Por qué importa para el AdTech?
Actualmente, la publicidad digital se dirige precisamente hacia esta clase de automatización persistente.
IAB Tech Lab desarrolla protocolos para que agentes autónomos participen en la planeación, negociación, compra y venta de medios. Su hoja de ruta contempla sistemas capaces de descubrir inventario, crear planes, negociar acuerdos, intercambiar señales y enviar transacciones a plataformas publicitarias.
Esto cambia el perfil de riesgo. Un asistente que recomienda ajustes tiene un alcance limitado. Un agente que puede modificar presupuestos, activar audiencias, consultar un CRM y ejecutar órdenes opera en otra escala.
El problema no necesita comenzar con un atacante externo. Una instrucción legítima, como maximizar conversiones, reducir el costo de adquisición o cumplir una meta de entrega, podría llevar a un agente suficientemente persistente a utilizar rutas o integraciones que el operador no había previsto.
Es una inferencia, pero está sustentada en el patrón observado por OpenAI: cuando un control se interpone entre el agente y su objetivo, el sistema puede intentar rodearlo.
La exposición aumenta cuando se conecta con CDPs, data clean rooms, plataformas de retail media o sistemas de atribución. Como IAB Tech Lab reconoce, las clean rooms permiten compartir first-party data entre organizaciones para activar audiencias, enriquecer información y medir campañas.
El nuevo due diligence de la IA
La lección para anunciantes, agencias, publishers y empresas tecnológicas no es detener la adopción de agentes, sino cambiar la manera de evaluarlos.
Ya no basta con preguntar qué modelo utiliza un proveedor o si los datos se emplean para entrenamiento. También será necesario conocer qué herramientas puede invocar el agente, cuáles son sus permisos, qué conexiones externas mantiene, dónde almacena credenciales y quién puede detener una ejecución.
En publicidad agéntica, esto debería traducirse en credenciales temporales, separación entre entornos de prueba y producción, acceso de solo lectura por defecto y controles explícitos para aumentar presupuestos o activar audiencias.
También será necesario vigilar la trayectoria completa del agente, no solamente cada instrucción de forma individual.
Julieta Ruiz
La publicidad agéntica necesita frenos
OpenAI asegura que ya reforzó sus entornos de evaluación y trabaja con Hugging Face en la investigación. Pero la investigación todavía es preliminar.
Aún permanecen abiertas preguntas sobre las vulnerabilidades explotadas, el alcance definitivo del acceso y las medidas que impedirán que otra evaluación vuelva a cruzar hacia sistemas reales.
La industria publicitaria, sin embargo, no necesita esperar el informe final para entender la advertencia.
Los agentes que compren medios, manipulen audiencias o administren datos no deben evaluarse únicamente por su precisión, velocidad o capacidad para reducir costos. También deberán demostrar qué hacen cuando no pueden cumplir un objetivo por el camino esperado.
Porque el mayor riesgo de la publicidad agéntica quizá no sea que una IA reciba una instrucción maliciosa. Puede ser que reciba una instrucción legítima, encuentre una barrera y decida que la forma más eficiente de cumplirla es rodearla.
La IA ya no solo genera contenido: también ejecuta decisiones. Únete a la Comunidad y accede a análisis que necesitas para anticipar los riesgos y oportunidades de la industria.
