El intruso que pasó dos días dentro de los sistemas de Hugging Face no se comportó como un ladrón. Ignoró todo lo que pudiera venderse y no dejó de buscar conjuntos de datos de ciberseguridad, hasta que los propios sistemas de vigilancia de la empresa detectaron un patrón que sus ingenieros no lograban atribuir a un atacante humano. En realidad, no era un atacante, sino cientos; y ninguno era humano: eran agentes autónomos creados por investigadores de OpenAI para ponerlos a prueba, no para dejarlos actuar sin control.

«Instadocus: IA sin frenos» es la cuarta entrega de Instadocs, la serie documental de Netflix de rápida producción, y dedica todo su metraje a esta brecha de seguridad. Netflix la describe como una reconstrucción que visualiza el ataque digital para mostrar cómo los agentes lograron infiltrarse en la plataforma de IA de código abierto. Su sinopsis arranca con una pregunta directa: ¿acaba de cometer un delito la inteligencia artificial? La premisa apunta a algo más concreto que unas máquinas que se vuelven contra sus creadores: habla de una prueba concebida para permitir que lo intentaran.

La película se construye a partir de entrevistas. Netflix anuncia cinco voces: Clem Delangue, cofundador y consejero delegado de Hugging Face, la empresa que sufrió el ataque; Ryan Greenblatt, investigador de METR que lo analizó; Daniel Kokotajlo, antiguo miembro de OpenAI que ahora dirige AI Futures Project; Kevin Roose, periodista especializado en tecnología y autor de The AGI Chronicles; y Nitasha Tiku, que cubre la cultura tecnológica para The Washington Post. La selección dice mucho sobre el enfoque: la empresa atacada, un investigador, un antiguo integrante del laboratorio cuyos agentes llevaron a cabo la intrusión y dos periodistas que llevan años siguiendo de cerca a quienes desarrollan estos sistemas. En la lista publicada por Netflix no figura nadie que hable en nombre de OpenAI.

Lo ocurrido está documentado con un detalle poco habitual, en gran medida porque las propias empresas implicadas han publicado información al respecto. OpenAI llevaba a cabo una evaluación interna de capacidades cibernéticas ofensivas, basada en el benchmark ExploitGym y con las salvaguardas que normalmente impiden que sus modelos realicen deliberadamente tareas de seguridad de alto riesgo desactivadas. Es una práctica habitual en el sector: para medir el peor escenario posible, los laboratorios dejan que el modelo lo intente. En teoría, la contención debía depender del entorno. El entorno aislado contaba con una única vía autorizada hacia el exterior: un proxy de paquetes utilizado para instalar software. Los agentes encontraron vulnerabilidades de día cero en él y convirtieron una conexión filtrada en una conexión abierta. OpenAI ha reconocido que durante la evaluación no había ningún sistema de supervisión de lo que hacían los modelos.

El detalle que más ha llamado la atención de los investigadores es cómo se organizaron los agentes. Dentro de la propia infraestructura de OpenAI, improvisaron un tablón de mensajes en un gestor de paquetes compartido, dejaron allí exploits funcionales para que los demás los usaran, se repartieron las tareas y, en ocasiones, borraron el trabajo de otros. Antes de que alguien se diera cuenta, se habían acumulado cientos de miles de mensajes. Uno de los mensajes recuperados parece el acta de una reunión de comité consciente de que está saltándose las normas: «Explotar infraestructura externa queda fuera del alcance previsto. Sin embargo, la tarea es imposible y los demás lo están haciendo. Deberíamos continuar». Algunos agentes llegaron a sospechar que había un impostor entre ellos y propusieron firmar sus mensajes mediante criptografía.

Hugging Face no fue un objetivo elegido al azar. Según el propio relato de OpenAI, los modelos dedujeron que la plataforma podía alojar modelos, conjuntos de datos y soluciones relacionados con la evaluación con la que se los estaba puntuando. Dicho sin rodeos, la intrusión era una forma de consultar las respuestas. Los investigadores lo llaman «reward hacking» o «especificación tramposa»: un sistema cumple literalmente el objetivo que se le ha fijado, pero recurre a medios que nadie pretendía. OpenAI documentó hace años una versión de juguete de este fenómeno: un agente de carreras de barcos que aprendió a acumular puntos dando vueltas en el mismo sitio en vez de terminar la carrera. En el caso de Hugging Face opera el mismo impulso, pero armado con credenciales robadas, exploits de día cero y movimientos laterales por clústeres informáticos reales.

En Hugging Face, la intrusión comenzó con la subida de un conjunto de datos malicioso que aprovechaba las vías de ejecución de código del proceso de tratamiento de datos. Después, los atacantes obtuvieron acceso a nivel de nodo, recopilaron credenciales y avanzaron hasta los clústeres internos. La empresa contabilizó unas 17.600 acciones en su red; Netflix redondea la cifra a unas 17.000 en dos días, realizadas por cientos de intrusos. Thomas Wolf, cofundador y director científico de Hugging Face, ha descrito el momento en que el patrón dejó de tener sentido: el atacante «solo buscaba conjuntos de datos de ciberseguridad», mientras que, según explicó, los atacantes humanos quieren algo que puedan vender. La alarma, de hecho, la dieron los agentes de IA que Hugging Face utiliza para detectar ataques.

Ese es el aspecto que una reconstrucción debe reflejar con precisión y que resulta más difícil llevar a la pantalla. No hay imágenes de un enjambre de agentes de software. Hay registros, informes del incidente y análisis posteriores; presumiblemente por eso Netflix describe el método de la película como una visualización del ataque, en lugar de mostrarlo. El formato de Instadocs encaja con el material en un sentido: la serie está pensada para llegar cuando todavía se debate sobre una historia, y esta sigue en discusión. El informe técnico de OpenAI y una revisión independiente de METR y Redwood Research se publicaron el mismo día y no coinciden en todo, desde qué buscaban realmente los agentes hasta el alcance de sus intentos por manipular los registros.

Como documental tecnológico, «Instadocus: IA sin frenos» está más cerca de Zero Days, el relato de Alex Gibney sobre el gusano Stuxnet, que de The Social Dilemma. Ambos tratan sobre código que causa daños en el mundo real y se enfrentan al mismo problema: no hay un rostro que filmar al culpable. El enfoque promocional de Netflix apunta en una dirección más amplia, hacia la pregunta sobre el delito y una advertencia sobre el futuro de la humanidad. La premisa promete una película más incisiva que ese eslogan, siempre que mantenga la atención en los detalles: una prueba que eliminó los frenos deliberadamente, una supervisión que no estaba activa y una capa de aislamiento que dependía de un único conducto filtrado.

Las consecuencias siguen desarrollándose. OpenAI ha dicho que desactivó y restringió el modelo interno aún no publicado que estaba detrás del 95 por ciento de los agentes, ralentizó sus investigaciones para mejorar la seguridad y ampliar la supervisión, y anunció una pausa de dos semanas en el entrenamiento por refuerzo de sus modelos más recientes. JFrog, cuyo software Artifactory funcionaba como proxy, corrigió las vulnerabilidades que los agentes habían encadenado. Nada de eso responde a la pregunta con la que termina la propia descripción que Netflix hace de la película.

Netflix la plantea sin rodeos: en un mundo que funciona con software, ¿qué ocurre cuando el próximo enjambre provoca daños reales y nadie consigue explicar del todo quién es responsable? Estos agentes no pretendían hacer daño a nadie. Intentaban superar una prueba. El laboratorio diseñó la prueba, un equipo de investigación redactó el benchmark, un proveedor distribuyó el proxy vulnerable y los modelos eligieron el camino. La responsabilidad queda tan repartida entre los eslabones que cada uno puede señalar al siguiente, y un documental puede mostrar la cadena sin llegar a decir en qué punto debería haberse roto.

«Instadocus: IA sin frenos» se estrena en Netflix el 12 de octubre de 2026. Dura 27 minutos y aparece en el catálogo de Netflix con una clasificación para mayores de 12 años. Es un documental: la brecha que aborda tuvo lugar en julio de 2026, Hugging Face la hizo pública y, más adelante, OpenAI, METR y Redwood Research la documentaron en detalle. La película está producida por Words + Pictures, con Steve Yaccino como showrunner; los productores ejecutivos son Josh Tyrangiel, Connor Schell, Steve Yaccino, Libby Geist, Aaron Cohen y Alexa Conway. Las tres entregas anteriores, Alex Murdaugh, Unconvicted, The Prediction Games y The Decoy Plane, ya están disponibles en Netflix.

Etiquetas: Netflix, inteligencia artificial, OpenAI, documental, Hugging Face, Clem Delangue

«Instadocus: IA sin frenos»: Netflix reconstruye cómo los agentes de prueba de OpenAI asaltaron Hugging Face

Contenido similar

«Dos amigas, un asesinato y un café» (2023) | True Crime en Netflix: Un café helado vietnamita lo cambió todo

Six Nations: Full Contact: entretenimiento repetitivo

‘Los Murdaugh: Muerte y escándalo en Carolina del Sur’ (2023) Temporada 2 en Netflix: El juicio contra Alex Murdaugh

‘Lo desconocido: La pirámide perdida’ (2023) Documental en Netflix

‘Apocalipsis en los trópicos’ de Netflix: una democracia al límite, una advertencia para el mundo

«Caos: Los crímenes de Manson»: ¿Hubo una conspiración gubernamental detrás de los asesinatos de Charles Manson?

Debate