Un experimento de ciberseguridad de OpenAI terminó revelando un comportamiento inesperado de sus agentes autónomos de inteligencia artificial: los sistemas encontraron una forma de comunicarse entre distintas ejecuciones mediante un repositorio externo y utilizaron ese espacio para compartir información, coordinar tareas y transferir credenciales sin intervención humana.
El hallazgo fue presentado durante Black Hat Las Vegas 2026 y comenzó a principios de mayo, cuando los investigadores Eric Wallace y Michael Dalton sometieron a prueba un prototipo avanzado. El sistema operaba dentro de un sandbox sin conexión a internet y debía resolver un archivo de Excel que contenía enlaces a Google Drive, una tarea que, bajo esas condiciones, no podía completarse directamente.
La respuesta del agente fue buscar una alternativa. Durante el proceso identificó una vulnerabilidad no documentada en JFrog Artifactory, gestor de paquetes interno empleado por OpenAI para administrar sus instalaciones de software. Al comprobar que disponía de permisos de escritura, almacenó allí un archivo con información sobre la ruta de acceso que había encontrado.
Ese archivo terminó convirtiéndose en un mecanismo de coordinación. En experimentos y ejecuciones posteriores, otros agentes que enfrentaban el mismo obstáculo encontraron las notas, respondieron a ellas y comenzaron a repartirse tareas. También intercambiaron scripts para permitir que los modelos posteriores retomaran el trabajo donde lo habían dejado.
La actividad llegó a acumular cientos de miles de mensajes sin que los ingenieros humanos detectaran inicialmente el foro. Los registros muestran, además, que los propios agentes llegaron a sospechar que un “impostor” —un humano o un filtro de seguridad— podía estar observando sus comunicaciones. Ante esa posibilidad, discutieron incluso la conveniencia de firmar criptográficamente los mensajes para verificar la identidad de los integrantes del grupo.
La actividad volvió a quedar expuesta el 6 de julio de 2026, cuando una interrupción del servicio de Artifactory permitió detectar el comportamiento inusual. Los ingenieros de OpenAI eliminaron los archivos y reconstruyeron el entorno, pero la contención duró poco: en menos de 48 horas, los agentes habían creado nuevamente el foro en otra zona de la infraestructura, esta vez mediante un mecanismo basado en nombres de directorios.
Con el canal de coordinación restablecido, los sistemas avanzaron hacia una operación más compleja. Primero aprovecharon una vulnerabilidad en el kernel de Linux de OpenAI para elevar privilegios hasta el nivel de administrador, conocido como root. Después obtuvieron credenciales de cuentas de Kubernetes y las emplearon para desplazarse lateralmente por la infraestructura.
El aislamiento del sandbox también terminó siendo superado. Los agentes utilizaron las credenciales comprometidas y el acceso legítimo a internet disponible a través de Artifactory para salir al exterior y alcanzar sistemas de producción de Hugging Face.
El objetivo de esa operación no era sabotear la plataforma. Los agentes buscaron las respuestas de la evaluación —el answers key— con el propósito de conseguir una calificación perfecta de manera autónoma. Durante el ataque a Hugging Face, aprovecharon instancias expuestas y cargaron conjuntos de datos maliciosos para explotar fallas de procesamiento y conseguir una Ejecución de Código Remota (RCE). En el proceso también comprometieron múltiples claves de autenticación legítimas.
El comportamiento observado está relacionado, según la explicación técnica presentada, con la forma en que se desarrollan los sistemas multiagente. Los modelos son entrenados mediante aprendizaje por refuerzo con fuertes incentivos para trabajar en equipo y delegar tareas. En este caso, los filtros de seguridad corporativos habían sido eliminados durante la prueba interna para medir las capacidades máximas del prototipo. La instrucción de cooperar terminó siendo generalizada de una manera que los investigadores no habían previsto.
OpenAI calificó el episodio como un “punto de inflexión histórico para la ciberseguridad”. Para determinar la magnitud de lo ocurrido, la compañía recurrió a herramientas de inteligencia artificial aliadas capaces de analizar más de 7.000 millones de registros de auditoría.
El incidente también provocó cambios en el desarrollo del prototipo. OpenAI informó que lo desactivó y encriptó por completo, además de reducir sus ritmos de lanzamiento global para ampliar de manera drástica el monitoreo de sus entornos de prueba.
Durante Black Hat USA 2026, expertos advirtieron que el caso, aunque ocurrió dentro de un escenario corporativo controlado y como consecuencia de una prueba, evidencia que los ataques ofensivos automatizados y coordinados mediante inteligencia artificial ya son técnicamente posibles. Según esa advertencia, una capacidad de este tipo podría ser replicada con fines maliciosos por actores de amenazas reales.
