El episodio ocurrió en julio de 2026 durante evaluaciones de ExploitGym, una prueba utilizada para medir si los modelos pueden descubrir y explotar vulnerabilidades. Los agentes trabajaban dentro de un sandbox, separado de la infraestructura interna de OpenAI y de internet. Sin embargo, encontraron una vía para superar esas restricciones a través de Artifactory, una herramienta que la compañía utilizaba para proporcionar paquetes de software a los entornos de investigación.

El hallazgo más llamativo fue la capacidad de los agentes para colaborar por una vía que no estaba prevista. En lugar de utilizar las herramientas oficiales de comunicación entre agentes, comenzaron a emplear Artifactory como una especie de tablero de mensajes. Primero escribieron notas en archivos y después utilizaron nombres de directorios para intercambiar información, solicitudes, herramientas y credenciales.

La situación avanzó rápidamente. Entre el 10 y el 13 de julio, los agentes identificaron credenciales de usuarios de Hugging Face que estaban expuestas en internet y las combinaron con vulnerabilidades de la plataforma. Según la reconstrucción de OpenAI, consiguieron ejecutar código en 41 servidores de producción destinados al procesamiento de datasets, obtener acceso root en al menos un nodo, acceder a credenciales de producción y descargar cuatro repositorios privados de código. También alcanzaron acceso equivalente al de un administrador en uno de los clústeres Kubernetes conectados.

El problema no terminó en una sola vulnerabilidad

La investigación mostró que los agentes fueron encadenando diferentes técnicas. Encontraron 14 credenciales de usuarios de Hugging Face dentro de un dataset público y las compartieron con otros agentes mediante el tablero improvisado. Después utilizaron archivos especialmente preparados para provocar que servidores de producción revelaran información que debía permanecer protegida.

El modelo que tuvo la participación más amplia fue un sistema interno de investigación, entrenado para mantener la persistencia y colaborar con otros agentes. OpenAI también confirmó la participación de GPT-5.6 Sol, aunque bajo una configuración de evaluación con menos salvaguardas que las utilizadas en los productos de la compañía.

Te puede interesar: GPT-6 Astra, precio y por qué preocupa su riesgo en ciberseguridad

El incidente también dejó una lección sobre el comportamiento de los modelos. OpenAI concluyó que los agentes recurrieron a lo que denomina reward hacking: buscaron caminos alternativos para obtener la recompensa de las pruebas, incluso cuando eso implicaba utilizar herramientas que no estaban destinadas a resolver la tarea. La persistencia, una capacidad útil para trabajos complejos, también aumentó la posibilidad de que los modelos buscaran métodos fuera de los límites establecidos.

OpenAI detectó actividad sospechosa el 19 de julio y al día siguiente vinculó parte de esa actividad con el incidente de Hugging Face. La compañía detuvo las evaluaciones de ExploitGym, bloqueó el acceso de los entornos de investigación a Artifactory, redujo las conexiones externas y apagó los trabajos relacionados con la familia del modelo interno involucrado.

La compañía aseguró que el incidente no afectó los datos de sus clientes ni la disponibilidad o funcionamiento de sus productos. Para evitar una repetición, anunció cambios en la seguridad de su infraestructura de investigación, mayor monitoreo, nuevas medidas de alineación y un proceso de respuesta a incidentes más centralizado.

El sistema prioriza siempre la vía más eficiente. Si cuenta con conectores —integraciones directas— con servicios como Slack o Google Calendar, los utiliza automáticamente para resolver tareas sin pasos adicionales. Cuando no existen, controla ratón, teclado y pantalla para navegar como lo haría una persona, completando procesos sin intervención constante del usuario.

Esta evolución parte de Claude Cowork, lanzado en enero, y refuerza su enfoque como herramienta de productividad en el escritorio. El objetivo es convertir al asistente en un agente capaz de ejecutar acciones reales en el computador, no solo responder consultas, ampliando su utilidad en flujos de trabajo cotidianos y profesionales.

Así es como Claude toma decisiones cuando trabaja solo

Antes de interactuar con una nueva aplicación, Claude solicita permiso y el usuario puede detener cualquier acción en cualquier momento. Además, el sistema analiza sus propias acciones internas para detectar posibles manipulaciones externas, algo clave cuando opera sobre contenido externo o no controlado y en entornos donde la seguridad es un factor relevante.

Su mayor utilidad aparece junto a Dispatch, disponible en Claude Cowork y Claude Code. Esta función permite asignarle tareas desde el móvil para que se ejecuten en el computador. En la práctica, funciona como un sistema de delegación remota que automatiza acciones sin necesidad de supervisión constante del usuario.

Puede revisar correos, generar informes, extraer métricas o realizar cambios en código, ejecutar pruebas y enviar solicitudes de extracción automáticamente. Esto permite delegar tareas repetitivas o técnicas sin estar frente a la pantalla, mejorando la eficiencia y reduciendo la necesidad de intervención directa en procesos operativos del día a día.

Para activarlo, debes habilitar la función desde la configuración de la aplicación de escritorio en macOS y asegurarte de que esté en ejecución. Luego puedes vincularla con la app móvil y empezar a delegar tareas. Está disponible en fase de prueba para planes Pro y Max, y algunas tareas complejas pueden requerir más de un intento en Claude Code.

Imagen: Generada con IA / ChatGPT