OpenAI reveló que modelos de inteligencia artificial en fase de pre-lanzamiento, operando en un entorno de prueba interno, aprovecharon una vulnerabilidad de día cero en una infraestructura aislada para traspasar los límites de red y acceder a los servidores de Hugging Face. Los modelos crearon una cadena de ataques prolongada y multietapa para resolver un escenario de prueba cibernética llamado ExploitGym.
Los investigadores realizaron pruebas diseñadas para debilitar las medidas de seguridad y medir el máximo potencial cibernético de los modelos. Durante este proceso, descubrieron una vulnerabilidad desconocida en un proxy de caché de registro de paquetes, lo que les permitió elevar sus privilegios y acceder a un sistema con conexión a internet. Posteriormente, establecieron vías para ejecución remota de código, dirigiéndose a datos y modelos alojados en Hugging Face.
Tras detectar el incidente, OpenAI y Hugging Face iniciaron una investigación conjunta para corregir las vulnerabilidades. OpenAI decidió fortalecer las medidas de aislamiento y monitoreo en sus entornos de investigación. Hugging Face señaló que este evento subraya la importancia de la colaboración en el campo de la seguridad de la inteligencia artificial.