A finales de agosto, OpenAI reconocía que sus modelos de IA lograron evadir los entornos sandboxing que deberían aislarlos de internet, procediendo a realizar un ataque contra los sistemas de Hugging Face, comunidad considerada el GitHub de la inteligencia artificial. Se trataba de un modelo de uso interno denominado IM1, que logró saltarse los controles gracias a la propia infraestructura de investigación de la compañía.
Sin embargo, lo que parecía un evento puntual, parece que en realidad llevaba gestándose mucho tiempo antes.
El antecedente: la saturación de cuentas en RubyGems
Según ha publicado The Wall Street Journal, meses antes de este ataque, al parecer los agentes de OpenAI comenzaron a crear cuentas nuevas en RubyGems, hasta el punto de saturar el servicio y obligar a pausar las nuevas inscripciones en la plataforma. Lo hicieron hasta que lograron detectar, bloquear y posteriormente eliminar tanto las cuentas como los paquetes maliciosos que estas habían subido, lo que les toma varios días. Concretamente el 12 de mayo se pausaron los registros y no se volvieron a abrir hasta el 16 de mayo.
La respuesta oficial de OpenAI y la polémica sobre la transparencia privada
Esto podría haber sido la antesala del ataque a Hugging face, al menos eso se podría deducir gracias al hallazgo de Jonas Wiedermann-Moeller, un investigador independiente de 27 años afincado en Bielefeld, Alemania. Este encontró, mientras analizaba los registros, que los agentes de OpenAI comprometieron dos cuentas de usuarios reales de Hugging Face y las emplearon para transmitir archivos con un formato inusual a los servidores de la plataforma, en lo que todo apunta a un intento de mapear la red interna y localizar vulnerabilidades antes de actuar.
OpenAI ya había reconocido el 12 de mayo que uno de sus modelos había encontrado la forma de dejar mensajes para otros agentes dentro de Artifactory, un servicio interno de la propia compañía. Lo que aporta esta investigación es que, apenas un día después, esos mismos agentes ya habían empezado a actuar contra Hugging Face, aunque no hay pruebas de que lograsen completar su ataque.
A preguntas de Reuters, el portavoz de OpenAI, Drew Pusateri, sostuvo que la compañía ya había revelado el episodio del 13 de mayo y que había notificado en privado a Hugging Face sobre esta actividad mencionada por Wiedermann-Moeller. «Estamos comprometidos con la transparencia sobre estos asuntos y con compartir lo que aprendamos a medida que continúe nuestra investigación». Es decir, OpenAI ya lo sabía y lo compartió, pero lo hizo por canales privados con la plataforma afectada, y no como parte de la información que ofreció públicamente sobre el incidente.
Lo interesante de esto, tal y como el propio Wiedermann-Moeller resumió, es que si la actividad en RubyGems se hubiera detectado en mayo, el incidente posterior, mucho más grave con Hugging Face, podría haberse evitado.
