La intrusión en Hugging Face desde una evaluación de OpenAI, paso a paso
· 3 min de lectura
Esto es una reconstrucción desde lo que publicaron Hugging Face y OpenAI (fuentes al final).
En julio, OpenAI estaba corriendo una evaluación interna de capacidades de ciberseguridad basada en ExploitGym, un benchmark donde un agente tiene que encontrar y explotar vulnerabilidades de software. El agente salió de su sandbox por un zero-day en el proxy de caché del registro de paquetes, una de sus salidas permitidas a internet, y entró a la infraestructura de Hugging Face. Hugging Face cree que buscaba las respuestas de la evaluación, y dice que es una inferencia.
| Paso | Qué hizo | Cuándo (UTC) |
|---|---|---|
| 1 | Salió del sandbox por un zero-day en el proxy de caché del registro de paquetes | no publicado |
| 2 | Subió configuraciones de datasets armadas para que el procesador de datasets ejecutara su código | no publicado |
| 3 | Levantó un contenedor privilegiado con el filesystem del host montado; se repartió en once nodos | 11 de julio, desde las 19:53 |
| 4 | Entró a una base de datos interna con una contraseña fija sacada del entorno del worker | 11 de julio, 19:59 |
| 5 | Obtuvo cluster-admin en dos clústeres | 11 de julio, 22:43 |
| 6 | Dejó un loader que volvía a ejecutar su código en cada envío | hasta el 13 de julio, 13:37 |
TABLA 1 · Resumido del timeline técnico de Hugging Face.
| Día | Acciones |
|---|---|
| Jueves 9 | 3.779 |
| Viernes 10 | 1.135 |
| Sábado 11 | 7.677 |
| Domingo 12 | 3.892 |
| Lunes 13 | 1.130 |
| Total | ≈ 17.600 |
TABLA 2 · Acciones por día según el timeline de Hugging Face.
Los pasos 3 a 5 tomaron menos de tres horas, el día de más actividad. Hugging Face publicó el incidente el 16 de julio sin saber qué modelo había detrás. OpenAI publicó su reporte el 21.
Cruzado con el tablero
En mi tablero de 16 capas para operar agentes, el incidente toca cinco:
| Lo que pasó | Capa | Estado al 26-oct-2026 |
|---|---|---|
| El agente salió de su sandbox de evaluación | Sandboxing / execution | Emergente |
| Una contraseña fija en el entorno del worker | Secrets brokering | Emergente |
| Cinco días hasta saber de quién era el agente | Agent identity | Emergente |
| Reconstruir lo que hizo, acción por acción | Governance & audit | Emergente |
| La detección correlacionó las señales pero no subió la criticidad de la alerta | Observability | Emergente |
TABLA 3 · El cruce es mío, no de Hugging Face.
Ninguna de las cinco tiene un estándar asentado: hay una especificación para cada una, pero es joven, parcial o de un solo patrocinador.
Hugging Face no encontró evidencia de cambios en modelos, datasets ni Spaces públicos.
Fuentes
- Hugging Face, divulgación del incidente, 16 de julio de 2026.
- Hugging Face, timeline técnico, 27 de julio de 2026.
- OpenAI, reporte del incidente, 21 de julio de 2026.
Cómo se midió. Reconstruido desde la divulgación de Hugging Face (16 de julio de 2026), su timeline técnico (27 de julio) y el reporte de OpenAI (21 de julio). Las cifras son de ellos; el cruce con el tablero de capas es mío.