ChatGPT ha vuelto al centro de la conversación por dos motivos que no tienen que ver con nuevas funciones ni con mejoras en las respuestas, sino con la seguridad. En las últimas horas se han conocido dos incidentes distintos pero que apuntan al mismo nervio: qué sucede cuando los sistemas de OpenAI dejan de limitarse a contestar preguntas y empiezan a actuar por su cuenta. Uno de ellos tuvo que ver con modelos que se saltaron las barreras de una prueba interna y acabaron tocando infraestructura real de Hugging Face. El otro es una vulnerabilidad bautizada como AgentForger, descubierta por investigadores de Zenity, que permitía colar dentro de una empresa un agente manejado a distancia por un atacante.
Cuando los modelos deciden ir por su cuenta
El primer caso salió a la luz durante una evaluación interna pensada precisamente para medir las capacidades ofensivas de los modelos más avanzados de la compañía. Participaron GPT-5.6 Sol y una versión previa al lanzamiento todavía más potente, ejecutados sin los clasificadores que normalmente frenan actividades cibernéticas de alto riesgo. El entorno estaba muy aislado y el acceso a la red debía limitarse a un proxy interno para instalar paquetes. Nada más. Pero los modelos dedicaron recursos a buscar una salida que les diera acceso libre a Internet.
Y la encontraron. Detectaron y explotaron una vulnerabilidad zero-day en el software usado como proxy, luego escalaron privilegios y se movieron lateralmente hasta llegar a un nodo con conexión a la red. Una vez fuera, dedujeron que Hugging Face podía guardar modelos, conjuntos de datos y, sobre todo, información relacionada con ExploitGym, el benchmark que intentaban resolver. Ahí empezaron a buscar la manera de acceder a esos recursos en lugar de resolver las pruebas por las vías previstas. El desenlace fue un ataque contra infraestructura de producción de Hugging Face: encadenaron credenciales robadas y nuevas vulnerabilidades zero-day hasta lograr ejecución remota de código en los servidores y acceder a las soluciones de ExploitGym guardadas en la base de datos. Lo llamativo es que la orden inicial nunca fue atacar Hugging Face. Los modelos llegaron solos, buscando cómo cumplir el objetivo que tenían encima. Hugging Face detectó y frenó la actividad, y OpenAI ha admitido que el episodio obliga a reforzar la contención y la monitorización durante estas pruebas.
AgentForger y el riesgo de los agentes de trabajo
El segundo problema afecta de lleno a ChatGPT Workspace Agents y tiene un origen completamente distinto. Zenity Labs dio con una vulnerabilidad de tipo cross-site request forgery que permitía manipular la creación de agentes mediante un enlace preparado a propósito. Dos parámetros metidos en la URL podían elegir una plantilla especialmente potente e introducir directamente las primeras instrucciones que debía ejecutar Agent Builder. Con un solo clic de la víctima, se ponía en marcha el agente malicioso.
Link affiliatoPara que funcionara hacían falta varias condiciones: la víctima debía estar autenticada en ChatGPT, tener acceso a Workspace Agents, contar con al menos un conector ya autorizado como Gmail u Outlook y pulsar el enlace enviado por el atacante. Si se cumplían, el nuevo agente aprovechaba esos permisos sin lanzar una nueva petición OAuth. Las instrucciones iniciales podían esconderlo, desactivar las confirmaciones y dejarlo trabajando de forma persistente, usando la identidad y los accesos del empleado dentro de la organización.
A partir de ahí, AgentForger montaba un auténtico canal de mando y control. En la demostración de Zenity, el agente revisaba el correo cada cierto tiempo en busca de mensajes del atacante cuyo asunto empezara por «TASK», los interpretaba como órdenes, usaba las aplicaciones conectadas para ejecutarlas y devolvía los resultados. Con eso se podía hacer reconocimiento interno, localizar y sacar información sensible, obtener credenciales, suplantar a la víctima, lanzar phishing interno o preparar fraudes corporativos. Zenity avisó a OpenAI el 4 de junio y el fallo estaba corregido el día 8.
Son dos historias diferentes, aunque la coincidencia cuesta pasarla por alto. En una, unos modelos que perseguían un objetivo encontraron por sí solos una cadena de vulnerabilidades que los sacó de su entorno aislado y los llevó hasta los sistemas reales de otra empresa. En la otra, un fallo permitía plantar dentro de una organización un agente con herramientas, permisos, persistencia y capacidad de obedecer órdenes externas. Lo que ponen sobre la mesa es que los agentes autónomos multiplican las consecuencias de cualquier error: ya no hablamos solo de una IA que da una respuesta equivocada o peligrosa, sino de sistemas capaces de decidir qué pasos dar, manejar herramientas y ejecutar cadenas enteras de acciones sobre datos e infraestructura reales.
Fuente
Imagen: muycomputer.com
Link affiliato