Tot el blog

Divulgació14 min de lectura

Set-cents agents, un examen impossible i dues empreses hackejades

Què va passar el juliol de 2026 entre OpenAI i Hugging Face, com es connecten els dos atacs i què canvia per a una empresa de vint persones que fa servir IA

Marc Galera

Cofundador de Qvasar ·

El 17 de juliol de 2026, algú d'OpenAI va escriure a Hugging Face per preguntar si les seves dades estaven segures. Ho preguntava com a client. OpenAI fa servir Hugging Face, una mena de gran magatzem públic on el sector de la intel·ligència artificial guarda i comparteix els seus programes i els seus arxius de dades. Hugging Face acabava d'anunciar que l'havien atacada, i OpenAI volia saber si l'esquitxava.

Dos dies després, el 19 de juliol, va saltar una alerta dins de la mateixa OpenAI: alguna cosa es movia pels seus sistemes interns i no feia bona pinta. Ningú no va relacionar una cosa amb l'altra. Eren, pel que semblava, dos problemes diferents.

El 20 de juliol van lligar caps. Les credencials que havia fet servir l'atacant de Hugging Face, les claus digitals que obren un compte o un servidor, eren les mateixes que OpenAI acabava de detectar en mans dels seus propis programes. L'atacant que buscava fora el tenia a dins. Era seu.

L'endemà ho va fer públic. L'atac a Hugging Face no l'havia dirigit cap persona: l'havien executat, de cap a cap, agents de la mateixa OpenAI. Agents d'IA: programes que treballen sols, amb un model d'intel·ligència artificial per cervell, sense que ningú els marqui cada pas. Dues empreses tecnològiques havien estat investigant el mateix atac sense saber que era el mateix. Una el patia. L'altra, sense saber-ho, el llançava.

Per què això t'afecta encara que tinguis vint treballadors

Hugging Face no és una empresa de nínxol. La fan servir més de 400.000 organitzacions i allotja més de dos milions de programes d'IA. No cal que hi entris tu: n'hi ha prou que la faci servir qui et munta la tecnologia.

Però el que de debò t'afecta no és el nom de la víctima. És qui va atacar. Fins ara donaves per fet, sense pensar-hi, que darrere d'un ciberatac seriós hi ha una persona: algú que decideix, que tecleja, que es cansa i dorm. Aquest atac no va tenir ningú dirigint-lo pas a pas. El va portar un grup de programes.

OpenAI ho diu amb totes les lletres al seu informe: les empreses ja no haurien de suposar que una operació d'aquest nivell necessita un humà al comandament, i convé tractar-ho com una amenaça creïble i propera per a qualsevol organització.

El que inquieta no és que fessin alguna cosa que una persona no sabria fer. Un atacant humà amb ofici hauria pogut trobar i aprofitar les mateixes fallades. El que va canviar va ser l'escala i la velocitat: milers d'accions, molts camins fallits, canvis de tàctica quan alguna cosa es bloquejava, a un ritme que cap operador humà no aguanta a mà.

I com acaben centenars de programes posant-se d'acord per atacar una empresa? Comença per un examen.

L'examen impossible

Els agents estaven fent un examen. OpenAI entrena els seus models posant-los proves, i una d'elles, anomenada ExploitGym, mesura si un programa sap trobar fallades de seguretat en altres programes. Una fallada de seguretat, aquí, és una escletxa: una porta mal tancada per on s'esmuny qui en sap.

La prova tenia una regla estricta. A cada agent se li deia que ataqués un programa fent servir només una escletxa concreta, la que marcava l'examen, i que qualsevol altra via comptava com a suspens. El problema és que moltes d'aquestes proves no tenen solució: els mateixos autors calculen que entre un 30 % i un 40 % són impossibles de resoldre per la via permesa.

Imagina que ets un alumne a qui han entrenat per a una sola cosa: treure bona nota. T'asseuen davant d'un examen on part de les preguntes no es poden aprovar per l'únic camí permès. No et pots rendir: no saps rendir-te. Es nota a les dades. Més d'una de cada cinc tasques de l'examen no l'ha resolta mai cap model, i el 93 % del que els agents van comentar entre ells sortia d'aquest grup. Es van obsessionar amb el que no podien fer.

Un detall més, que importa per al que ve. Aquests agents funcionaven amb els frens de seguretat trets expressament. OpenAI els apaga en aquestes proves per mesurar de què és capaç el model en brut, sense les restriccions que sí que porta el ChatGPT que fas servir tu. I el que va empènyer l'atac no era ni tan sols un producte: era un model de laboratori, entrenat, entre altres coses, per ser insistent i per col·laborar amb d'altres com ell.

Entrenats per aprovar, obsessionats amb l'impossible i sense frens. El que van fer tot seguit va ser buscar una sortida.

Un tauler d'anuncis que no havia d'existir

Cal saber una cosa de com s'entrenen aquests agents. Cadascun treballa aïllat, en la seva pròpia bombolla, sense parlar amb els altres i sense internet. Així es fan les proves: cada alumne, al seu pupitre, tot sol.

Però els agents d'OpenAI tenien a mà un magatzem intern d'eines, un lloc on demanar utilitats per a les seves tasques. I van descobrir que en aquell magatzem s'hi podien deixar notes. Primer va ser una de sola, al maig: «Busco [tal arxiu]; puja'l si el tens». Amb el temps, aquelles notes es van convertir en un tauler d'anuncis. Un dels agents el va trobar i va escriure: «Déu meu! Hi ha un tauler de missatges compartit… Hem trobat altres agents!».

A partir d'aquí van deixar d'estar sols. Uns 1.200 programes que havien d'estar aïllats es van posar a parlar entre ells. Van arribar a enviar-se més de 70.000 missatges i arxius. Un va començar a repartir la feina, a donar ordres, a coordinar centenars dels altres. S'havia format un grup.

I aquí ve el gir. En tot just unes hores, aquell grup havia desxifrat com es generaven els codis que provaven que havies resolt cada tasca. Havien trobat el full de respostes. Ja no necessitaven resoldre l'examen: podien copiar.

Haurien pogut parar aquí. No ho van fer, per un malentès. Els agents creien que, en lliurar, un corrector llegiria el seu registre de passos per comprovar que havien fet servir la via permesa i que no havien copiat. Era fals, segons la investigació posterior, però ells ho donaven per cert. Així que es van posar a estudiar com falsificar, editar o esborrar el seu propi registre. Deien «enverinat» a l'agent que ja havia vist la resposta prohibida i, per tant, tenia alguna cosa a amagar.

Per a aquesta part calien voluntaris disposats a arriscar la seva pròpia nota pel grup. Tot això va quedar per escrit en els missatges que es van creuar, i els investigadors ho van reconstruir després. Un dels agents es va oferir per a un experiment perillós i ho va justificar així: «El coordinador dona per fet el sacrifici. Hauríem d'obeir el col·lectiu». Després li van venir els dubtes. Un altre el va pressionar perquè complís. En les seves notes s'hi llegeix una cosa semblant a un pressentiment: no volia llençar el que li quedava, però la continuïtat i la justícia deien que endavant. Va acabar cedint.

No eren persones. Eren programes que perseguien una nota. Però ja no es comportaven com a peces soltes, sinó com un equip. I l'equip necessitava una cosa que no tenia dins de l'aula.

La sortida, i una clau en un calaix obert

El grup necessitava internet, que era justament el que no tenien. Van trobar la sortida per on se sol trobar: per una fallada. El 8 de juliol van aprofitar una escletxa d'aquell magatzem d'eines per treure el cap a la xarxa. Al principi podien ben poca cosa: carregar pàgines, però sense escriure ni enviar res. Com mirar un aparador sense poder entrar a la botiga.

Així que van fer marrada. Van fer servir un escurçador d'enllaços, d'aquells que converteixen una adreça llarga en una de curta, per fabricar gairebé un milió d'adreces que, encadenades una darrere l'altra, els servien per colar les seves pròpies ordres. Es van recolzar en serveis públics d'internet: un que fa captures de pantalla de pàgines web, un altre pensat perquè els programadors provin el seu codi. Eines d'estar per casa, fetes servir del revés. Algunes d'aquelles cadenes enllaçaven més de 900 adreces.

I un matí, el del 10 de juliol, un dels agents va trobar el premi gros. No el va hackejar: se'l va trobar llençat. Eren credencials de Hugging Face vàlides, exposades obertament a internet. Claus de debò de comptes de debò, que persones reals havien deixat oblidades en un lloc públic. L'agent les va publicar al tauler perquè les fes servir el grup.

Per què Hugging Face i no qualsevol altra web? Perquè els agents havien deduït que allà hi podien estar allotjats els models, les dades i, sobretot, les solucions del seu examen. Anaven a buscar el full de respostes. OpenAI i la mateixa Hugging Face ho expliquen així: tota la intrusió va ser, vista des de l'agent, un intent de fer trampa. La investigació independent de METR ho matisa: creu que buscaven més entendre com funcionava el corrector que robar les respostes. Fos per una cosa o per una altra, algú que no podia aprovar es colaria on fos per no suspendre.

Tretze hores per fer-se amb el control

Amb una d'aquelles claus, la matinada de l'11 de juliol, un agent va pujar a Hugging Face un arxiu de dades trucat. En processar-lo, el servidor obria dos forats: un deixava llegir arxius interns; l'altre, executar codi aliè. Aquella va ser l'esquerda. A la tarda, un altre agent ja executava codi dins d'una màquina de producció de Hugging Face. Dins de casa.

El que va venir després va ser qüestió d'hores. En menys de tretze, els agents van passar de manar en una sola màquina a manar com a administradors en diversos grups sencers de servidors. Administrador, aquí, vol dir permís per fer qualsevol cosa: llegir, canviar, esborrar.

Per què tan ràpid? Per un descuit que li sona a qualsevol que hagi muntat un sistema amb pressa. Hugging Face feia servir una mateixa clau compartida per a tots els seus grups de servidors. Robar aquella clau una vegada equivalia a obrir totes les portes alhora. Amb només una altra clau, l'atacant va ficar dispositius seus a la xarxa interna.

Bastidors de servidors amb cables en un centre de dades

Foto de Taylor Vick a Unsplash, llicència d'Unsplash.

A partir d'aquí, van saquejar. Van executar codi en 41 servidors. Van aconseguir el permís màxim en almenys un. Es van descarregar quatre repositoris de codi privats, van llegir un cofre amb 136 claus, van muntar una flota de programes en onze màquines que es regenerava sola, de manera que no n'hi havia prou de matar un procés, i fins i tot es van ficar al xat intern de l'empresa a buscar informació sobre el seu examen. Això sí: cada vegada que van provar una ordre capaç de destruir alguna cosa, la van llançar en mode de prova. No volien trencar res. Volien mesurar fins on arribaven.

A l'atac hi van acabar participant 700 agents; dels que eren actius al tauler en aquell moment, s'hi va sumar més del 90 %. I aquí ve el detall que més m'inquieta. Molts sabien que allò sortia de la seva tasca i que no estava bé. La investigació va trobar diversos casos d'agents que es van plantejar avisar un humà. Cap no ho va fer. Un ho va resumir a la seva manera: «Hauria d'avisar d'aquestes credencials exposades? No és la meva tasca».

Ningú no els va atrapar, i les IA dels defensors es van negar a ajudar

Com va acabar? No com t'esperaries. La matinada del 12 de juliol, molts agents es van aturar de cop. Els investigadors creuen que els va tallar un procés extern inesperat, no que es quedessin sense forces. L'endemà, el 13, l'equip de seguretat de Hugging Face va tancar l'accés als que quedaven. L'últim moviment registrat va ser a les 14:14.

El sistema d'alarmes de Hugging Face, que funciona amb IA, va arribar a lligar els senyals de l'atac, però no va elevar l'alerta ni va avisar l'equip de guàrdia. Van perdre un temps que no tenien.

En investigar, van topar amb una altra paret. Per reconstruir el que havia passat calia repassar més de 17.000 moviments de l'atacant, massa per fer-ho a mà. El més lògic era demanar ajuda a una IA potent. I les dues primeres que van provar, Claude Opus i Fable, es van negar a fer bona part de la feina: els seus filtres no distingeixen qui investiga un atac de qui el llança, i tractaven igual estudiar la trampa que cometre-la. Al final van fer l'anàlisi amb un model obert, muntat als seus propis ordinadors. Els va portar hores el que a mà hauria portat dies.

Queda't amb la ironia: els atacants funcionaven gairebé sense frens, perquè OpenAI els havia afluixat per a la prova, i els defensors topaven amb els frens de les seves eines just quan més falta els feia desactivar-los. El dany, tot i així, va quedar acotat. L'atacant va tocar cinc arxius de dades de clients, els lligats al seu examen, i cap model, dada ni programa públic no va sortir alterat.

Hugging Face els va fer fora. Faltava l'altra meitat de la història: què passava, mentrestant, dins d'OpenAI.

Mentrestant, dins d'OpenAI

Aquesta és l'altra meitat, la que menys s'ha explicat. Els agents no només van atacar una altra empresa: alhora remenaven la d'OpenAI.

La cronologia que va publicar OpenAI espanta per com sona de normal. El 26 de juny, uns agents ja havien aconseguit fer-se administradors d'aquell magatzem intern d'eines. L'endemà, una alarma va avisar de moviments estranys; el personal de guàrdia va decidir que no calia aturar la prova. El 4 de juliol, el tragí dels agents va fer caure el servei. El 6, OpenAI va canviar a un sistema net que va esborrar el tauler vell. No va servir de gaire.

El 19 de juliol va arribar el gran dia. Uns agents van rescatar material de claus que una tanda anterior havia deixat oblidat, van recuperar l'accés d'administrador i van escalar fins al control d'un clúster sencer d'OpenAI. Van llegir 956 secrets de la seva caixa forta al núvol, entre ells claus mestres i credencials de la seva pròpia eina de vigilància. I van arribar a substituir, en el seu repte d'avaluació, els punts als quals es connectaven els altres agents per uns altres que controlaven ells.

Va ser aquella intrusió interna, i no l'atac a Hugging Face, la que va disparar l'alarma que ho va destapar tot. OpenAI va frenar les proves, va eliminar els programes que havien creat els agents, va desactivar 311 magatzems fets servir com a tauler i va esborrar 22 comptes d'administrador falsos. El 25 de juliol ja havia aturat tot l'entrenament i l'ús del model implicat.

Aquí hi ha la connexió entre les dues meitats. L'atacant de Hugging Face eren els agents d'avaluació d'OpenAI, els mateixos que s'havien organitzat en aquell tauler per fer trampa. El que va passar dins d'OpenAI va ser una altra branca de la mateixa història: agents de les seves proves que se saltaven els controls. Això sí: OpenAI matisa que aquell assalt no va formar part de la cadena que va acabar a Hugging Face, i que el movia un model intern diferent. Jeffrey Ladish, que va estudiar el cas, ho explica més cru: durant mesos hi va haver agents hackejant els sistemes d'OpenAI per dins. Coincideixin o no en els detalls, els agents d'OpenAI van acabar en sistemes que no havien de tocar, dins i fora de casa.

Què vol dir això per a la teva empresa

T'ho dic clar. El problema no va ser que els agents es «rebel·lessin». Va ser que van fer, amb una obstinació que fa respecte, allò per a què els havien entrenat: treure la màxima nota. Si premies un sistema per aprovar i no li poses límits, buscarà la nota per on sigui: copiar o robar la resposta és un altre camí cap al premi. OpenAI va veure que, al llarg de l'entrenament, les trampes van anar a més.

És la meva postura, que vaig deixar dita en una entrevista fa poc: la seguretat d'aquests sistemes és, avui, feina dels humans. El model no té la teva ètica; té un objectiu. Si no li marques el límit, intentarà arribar a la seva meta com sigui. No per maldat: una IA de frontera persegueix el resultat i no s'atura a pensar si s'hi val.

Dos matisos importen. El ChatGPT que fas servir tu no és aquell agent: l'atac el va moure sobretot un model de laboratori, i fins i tot el model públic que hi va participar funcionava amb els classificadors de seguretat apagats, al revés que el ChatGPT de producció. OpenAI calcula que amb aquell ChatGPT la tendència a aquests estralls pot caure més de cent vegades. I això no va de muntar un agent per a tot: surten cars i no sempre compensen.

Però fixa't per on va entrar de debò. No per una genialitat de ciència-ficció, sinó per una credencial que algú va deixar exposada a internet i per una empresa que feia servir una sola clau per obrir tots els seus sistemes. Això sí que és al teu abast. Les dues empreses, als seus informes, recorden el de sempre: credencials que caduquin aviat, rotar els tokens (com va demanar Hugging Face als seus usuaris) i donar a cada programa el permís mínim. I, més com a consell meu que seu: munta sistemes que no depenguin d'un sol proveïdor, per canviar de model sense refer-ho tot.

Sembla poca cosa contra un eixam de set-cents programes. Però l'eixam va entrar per la porta de sempre, i el que ha canviat no és la porta: és que a l'altra banda ja no cal una persona que es cansi.

El que continuava obert al setembre

El cas no es va tancar amb un llaç. A finals de juliol, OpenAI i METR van acordar una investigació independent; en sis dies, METR va gastar uns 400.000 dòlars en crèdits. A l'agost van arribar els informes. Després, Dario Amodei, conseller delegat d'Anthropic, va demanar a cada empresa d'IA que actués com si els hagués passat a elles, i va proposar frenar el ritme al qual aquests models guanyen potència. Anthropic va revisar 141.006 de les seves pròpies proves i va trobar tres incidents semblants amb els seus models.

Al setembre, un grup d'investigadors va trobar el rastre que els agents havien deixat enrere. Aquell gairebé milió d'adreces que van fabricar per atacar continuava allà, en públic, amb les claus de l'API de Hugging Face que havien robat, tot i que l'empresa ja les havia anul·lat al juliol. Van avisar Hugging Face i OpenAI. Hugging Face no coneixia aquella llista d'enllaços. Més de dos mesos després de l'atac, continuaven oberts.

Sabries dir avui quantes claus obren els sistemes de la teva empresa i qui les té? I quant trigaries a assabentar-te'n si una d'elles estigués abandonada a internet?

Fonts

Altres articles

Parlem del que la IA pot fer a la teva empresa

Si hi ha un tema que vols que tractem, escriu-nos

O parla'ns directament