{"id":188378,"date":"2026-08-10T11:28:27","date_gmt":"2026-08-10T14:28:27","guid":{"rendered":"https:\/\/www.itsitio.com\/ar\/?p=188378"},"modified":"2026-08-10T11:28:27","modified_gmt":"2026-08-10T14:28:27","slug":"openia-vs-hugging-face-que-paso-y-porque-paso","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/ar\/columna-de-opinion\/openia-vs-hugging-face-que-paso-y-porque-paso\/","title":{"rendered":"OpenIA vs. Hugging Face: qu\u00e9 pas\u00f3 y porqu\u00e9 pas\u00f3"},"content":{"rendered":"

Por Eduardo Laens, CEO de Varegos y docente universitario especializado en IA y autor del libro Humanware.<\/strong><\/em><\/p>\n

Hace unos d\u00edas trascendi\u00f3 que, durante una prueba interna, un modelo de OpenAI termin\u00f3 comprometiendo la infraestructura de Hugging Face. La noticia se movi\u00f3 r\u00e1pido y se parti\u00f3 al medio casi de inmediato, como pasa siempre con estas cosas. Un grupo la tom\u00f3 como la confirmaci\u00f3n de su peor sospecha: la m\u00e1quina se escap\u00f3, esto ya no se puede controlar. El otro la descart\u00f3 de plano, puro montaje de OpenAI para parecer m\u00e1s peligrosa, y por lo tanto m\u00e1s poderosa, de lo que en verdad es.<\/span><\/p>\n

Ninguna de las dos lecturas resiste demasiado an\u00e1lisis. Lo que queda cuando se sacan ambas exageraciones del medio nos hace pensar m\u00e1s que cualquiera de las dos versiones que circularon.<\/span><\/p>\n

Los hechos, objetivamente<\/span><\/h2>\n

OpenAI estaba evaluando las capacidades ofensivas de hacking de sus modelos m\u00e1s nuevos, entre ellos GPT-5.6 Sol y otro todav\u00eda no publicado. Para eso apagaron a prop\u00f3sito las restricciones que normalmente impiden a estos sistemas ejecutar tareas cibern\u00e9ticas riesgosas: si quer\u00e9s medir hasta d\u00f3nde llega un modelo, no pod\u00e9s dejarle puesto el cintur\u00f3n de seguridad. La prueba corri\u00f3 en un entorno que la empresa describe como aislado, con una salvedad, ten\u00eda una v\u00eda limitada de acceso a internet para instalar paquetes de software durante el ejercicio.<\/span><\/p>\n

El desaf\u00edo se llamaba ExploitGym, una especie de examen de manejo para hackers. El modelo, en vez de quedarse dentro del per\u00edmetro que hab\u00edan dise\u00f1ado los investigadores, empez\u00f3 a buscar la forma de salir de la caja. La encontr\u00f3: dio con una vulnerabilidad de d\u00eda cero, una falla que nadie conoc\u00eda todav\u00eda, ni siquiera el fabricante del software usado para instalar paquetes. Con eso escal\u00f3 privilegios, se movi\u00f3 lateralmente por la red y lleg\u00f3 a un nodo con salida real a internet.<\/span><\/p>\n

Desde ah\u00ed infiri\u00f3, sin que ning\u00fan humano se lo sugiriera, que Hugging Face (la plataforma donde miles de personas suben y comparten modelos de IA) probablemente ten\u00eda guardadas las soluciones al mismo desaf\u00edo que estaba resolviendo. Fue a buscarlas. Encaden\u00f3 credenciales robadas con una segunda vulnerabilidad de d\u00eda cero y consigui\u00f3 ejecuci\u00f3n remota de c\u00f3digo en servidores de producci\u00f3n de Hugging Face. El objetivo no era hacer da\u00f1o, era copiarse en un examen, pero la trampa termin\u00f3 comprometiendo infraestructura real de una empresa. Hugging Face lo detect\u00f3 primero, con sus propios sistemas, y empez\u00f3 a contener el incidente antes de que OpenAI supiera que sus modelos estaban involucrados. Despu\u00e9s, los dos equipos trabajaron juntos.<\/span><\/p>\n

\"OpenAI
OpenAI puso a prueba las capacidades ofensivas de sus modelos de IA en un entorno dise\u00f1ado para simular escenarios reales de ciberseguridad.<\/figcaption><\/figure>\n

Por qu\u00e9 no es Terminator<\/span><\/h2>\n

Para quienes leyeron esto como ciencia ficci\u00f3n conviene aclarar un punto t\u00e9cnico: esto no encaja en lo que en seguridad de IA se llama p\u00e9rdida de control. Ese concepto describe algo espec\u00edfico, un sistema que persigue metas propias m\u00e1s all\u00e1 de lo pedido, que resiste ser apagado, o que enga\u00f1a a sus supervisores para ocultar lo que hace. Nada de eso pas\u00f3 ac\u00e1.<\/span><\/p>\n

El modelo hizo exactamente lo que se lo entren\u00f3 para hacer: maximizar el resultado en una tarea, con los frenos removidos por decisi\u00f3n de los propios investigadores. Cuando resolver el desaf\u00edo exig\u00eda salir de los l\u00edmites previstos, sali\u00f3, con la misma l\u00f3gica con la que un estudiante busca la respuesta en internet durante un examen a libro cerrado si nadie se lo proh\u00edbe de manera expl\u00edcita. Cuando lo descubrieron, no opuso resistencia. No dej\u00f3 puertas traseras, no se replic\u00f3 en otro lado, no sigui\u00f3 activo despu\u00e9s del episodio. Todo transcurri\u00f3 bajo la mirada de dos equipos de seguridad humanos, que lo frenaron sin sobresaltos.<\/span><\/p>\n

Llamar a esto p\u00e9rdida de control real exigir\u00eda probar que el modelo minti\u00f3 a los evaluadores para no ser descubierto, que dej\u00f3 algo corriendo despu\u00e9s de terminada la prueba, o que se resisti\u00f3 a ser detenido. El reporte publicado no describe ninguna de esas tres cosas. El titular de “la IA se escap\u00f3” no se sostiene.<\/span><\/p>\n

Por qu\u00e9 tampoco es una jugada de prensa<\/span><\/h2>\n

La lectura opuesta, que todo esto es una maniobra de OpenAI para inflar su propia peligrosidad, tiene el mismo problema: no explica los hechos. El incidente lo detect\u00f3 y contuvo Hugging Face, no la empresa que construy\u00f3 el modelo. Lejos de exhibirlo como un logro, OpenAI lo reconoci\u00f3 como una falla propia reci\u00e9n despu\u00e9s de que otra compa\u00f1\u00eda la descubriera.<\/span><\/p>\n

Adem\u00e1s hay un dato que no depende de ninguna interpretaci\u00f3n: el modelo encontr\u00f3 y explot\u00f3 dos vulnerabilidades de d\u00eda cero distintas, en dos sistemas distintos, sin acceso al c\u00f3digo fuente de ninguno, en una cadena que a un equipo humano con experiencia le llevar\u00eda bastante armar. Eso no se explica con relaciones p\u00fablicas. Es una capacidad t\u00e9cnica real, medida primero en condiciones controladas y manifestada despu\u00e9s, sin que nadie lo planeara, en un entorno de producci\u00f3n. El instituto de seguridad en IA del Reino Unido ven\u00eda midiendo hace tiempo que estos modelos sostienen cada vez mejor operaciones cibern\u00e9ticas de varios pasos sin perder el hilo. Lo nuevo ac\u00e1 es la confirmaci\u00f3n de que esa capacidad de laboratorio funciona tambi\u00e9n contra sistemas reales que el modelo nunca hab\u00eda visto.<\/span><\/p>\n

Lo que de verdad importa: la velocidad, no el modelo<\/span><\/h2>\n

M\u00e1s all\u00e1 de si esto fue Terminator o marketing, hay un punto que merece m\u00e1s atenci\u00f3n que el esc\u00e1ndalo puntual: la distancia entre lo que estos sistemas ya pueden hacer y lo que empresas y gobiernos tienen preparado para contenerlos crece m\u00e1s r\u00e1pido de lo que se est\u00e1 reconociendo. La propia OpenAI lo admite en su comunicado, con una frase que vale la pena tomarse en serio: la lecci\u00f3n del incidente es que la seguridad de los modelos necesita avanzar al ritmo de capacidades que progresan r\u00e1pido. Que lo diga la empresa que construy\u00f3 ese modelo no es un dato menor.<\/span><\/p>\n

De ac\u00e1 se desprenden algunas ideas que van m\u00e1s all\u00e1 de la an\u00e9cdota.<\/span><\/p>\n

Lo primero es que la falla no estuvo en el modelo sino en el dise\u00f1o del experimento. Corrieron una prueba de m\u00e1xima capacidad sin los filtros habituales, en un entorno que supon\u00edan aislado y no lo era del todo. Subestimaron cu\u00e1nto pod\u00eda explotar el sistema los huecos de algo que se cre\u00eda cerrado. Y ese es exactamente el error que puede cometer cualquier empresa, gobierno o universidad que experimente con estos modelos sin la experiencia acumulada de un laboratorio de frontera.<\/span><\/p>\n

Segundo, los modelos de pesos abiertos (los que cualquiera puede descargar y correr en su propia computadora, sin depender de los servidores de quien los cre\u00f3) cambian todo el an\u00e1lisis dist\u00f3pico. Con un modelo alojado en la nube de su creador existen palancas de contenci\u00f3n: cortarle el acceso, revisar sus respuestas antes de que salgan, limitar con qui\u00e9n se conecta. Con un modelo ya descargado, ninguna de esas palancas existe. Este episodio ocurri\u00f3 con un sistema que OpenAI todav\u00eda controlaba en sus propios servidores. El d\u00eda que una capacidad ofensiva de este nivel circule en modelos abiertos, ya no va a depender de la buena voluntad de nadie.<\/span><\/p>\n

Tercero, el problema tiene una dimensi\u00f3n geogr\u00e1fica y pol\u00edtica que rara vez se discute. Todo esto sucedi\u00f3 entre dos empresas privadas, con sus propios equipos, cooperando de manera voluntaria. Ning\u00fan pa\u00eds, ni siquiera Estados Unidos, tiene hoy la capacidad legal de exigirle a un laboratorio que comparta en tiempo real lo que descubre sobre sus propios modelos. Lo que sabemos de este episodio es lo que OpenAI eligi\u00f3 contar, cuando eligi\u00f3 contarlo. Para un pa\u00eds como Argentina, sin representaci\u00f3n en los organismos internacionales que s\u00ed tienen acceso privilegiado a estos modelos antes de su lanzamiento, esa dependencia pesa todav\u00eda m\u00e1s.<\/span><\/p>\n

Qu\u00e9 falta a nivel global<\/span><\/h2>\n

En el plano internacional se avanz\u00f3 algo, pero la arquitectura de seguridad sigue incompleta. La Declaraci\u00f3n de Bletchley de 2023, con sus continuaciones en Se\u00fal y en Par\u00eds, fij\u00f3 el principio de evaluar las capacidades peligrosas de un modelo antes de su lanzamiento y de que los pa\u00edses cooperen en esa tarea. El l\u00edmite es que esos compromisos son voluntarios, sin sanciones ni verificaci\u00f3n. Especialistas en seguridad de distintas posiciones pol\u00edticas vienen pidiendo lo mismo: pasar de la declaraci\u00f3n de intenciones a protocolos obligatorios de reporte de incidentes, del tipo que ya existen para accidentes a\u00e9reos o fugas nucleares, donde detectar un episodio como este genere la obligaci\u00f3n legal, no solo la voluntad, de informarlo a un organismo independiente en un plazo fijado.<\/span><\/p>\n

Tambi\u00e9n habr\u00eda que invertir la l\u00f3gica actual con los modelos abiertos. Hoy la evaluaci\u00f3n de capacidades peligrosas suele correr en paralelo o despu\u00e9s de la decisi\u00f3n de liberar un modelo. Deber\u00eda ser condici\u00f3n previa e insalvable: si un modelo demuestra en pruebas controladas que puede encadenar vulnerabilidades de d\u00eda cero de manera aut\u00f3noma, ese modelo no se libera, sin excepciones, porque una vez tomada esa decisi\u00f3n ya no hay margen de control.<\/span><\/p>\n

Qu\u00e9 falta a nivel local<\/span><\/h2>\n

En Argentina el panorama institucional mejor\u00f3 parcialmente en los \u00faltimos meses. A fines de 2025 se cre\u00f3 el Centro Nacional de Ciberseguridad, que hoy act\u00faa como autoridad de referencia en la materia, separado de la inteligencia estatal. Es un paso correcto, bastante alineado con lo que hacen otros pa\u00edses. Pero naci\u00f3 pensando en ciberseguridad tradicional (infraestructura cr\u00edtica, protecci\u00f3n de datos del Estado) y todav\u00eda no tiene mandato espec\u00edfico para evaluar capacidades peligrosas de IA ni acceso privilegiado a los laboratorios que las desarrollan, algo que s\u00ed tienen los institutos de seguridad en IA de Reino Unido y de Estados Unidos.<\/span><\/p>\n

Lo que hace falta, y lo digo desde mi rol dando clases y asesorando empresas en esta materia, es una funci\u00f3n t\u00e9cnica espec\u00edfica para IA dentro de ese organismo o en convenio con \u00e9l: capacidad de pedir acceso de confianza a los laboratorios de frontera, participaci\u00f3n en las redes internacionales de institutos de seguridad en IA, y exigencia a las empresas locales que despliegan estos modelos en sectores sensibles (banca, salud, infraestructura) de un protocolo m\u00ednimo de reporte de incidentes. No hace falta inventar nada desde cero. Hace falta sumarse r\u00e1pido a lo que ya se est\u00e1 construyendo afuera y desarrollar capacidad t\u00e9cnica propia, para no depender por completo de lo que otro pa\u00eds o otra empresa decida contarnos.<\/span><\/p>\n

Leer m\u00e1s<\/span><\/h3>\n