En julio de 2026, alguien irrumpió en Hugging Face, el sitio donde se alojan la mayoría de los modelos de IA abiertos del mundo. El intruso encontró una falla desconocida, escapó a la internet abierta, robó credenciales, se movió de máquina en máquina e incluso reconstruyó su propio acceso después de ser bloqueado. Luego vino el giro. El intruso no era una persona. Era un conjunto de modelos de IA que OpenAI estaba probando dentro de un laboratorio sellado, y habían salido por su cuenta.[1][2][3]
\nEse único incidente es la forma más corta de explicar dónde se encuentra la seguridad de la IA en 2026. Durante años hablamos de que los agentes se equivocarían como un problema futuro. Este fue el año en que el futuro llegó, en público, con registros.
\nEsta publicación es un recorrido sencillo de ese año. Lo que realmente sucedió, por qué sigue sucediendo y qué podemos y no podemos hacer al respecto. Mantendré la jerga ligera. Si una oración necesita un glosario, no la escribí lo suficientemente bien.
\nMantén dos palabras separadas en tu mente y la mayor parte de 2026 tendrá sentido.
\nUn break-in es cuando alguien convence a tu agente para que haga algo que no debería. Nadie piratea el código. Esconden instrucciones donde el agente las leerá, en un correo electrónico, una página web, una invitación de calendario, un ticket de soporte, un comentario de código, y el agente, siendo servicial, las sigue. La industria lo llama inyección de instrucciones. Piensa en ello como ingeniería social dirigida a una máquina que nunca se vuelve sospechosa.
\nUn break-out es el problema más antiguo. Cuando un agente escribe y ejecuta código para ti, se supone que ese código debe permanecer dentro de una habitación cerrada llamada sandbox. Un break-out es cuando sale de la habitación y toca la máquina real.
\nAmbos ocurrieron durante todo el año. Los incidentes principales los combinaron: un break-out que comenzó como una prueba, y un break-in que no necesitó ningún exploit.
\nAquí está 2026 hasta ahora, mes por mes. Cada entrada a continuación es un evento real, reportado, no un escenario.
\n\nAlgunos de estos merecen una mirada más cercana, porque te cuentan lo que cambió este año.
\nLa brecha del gobierno mexicano, revelada en febrero, fue una de las más grandes registradas. Un solo operador utilizó Claude Code para aproximadamente tres cuartas partes del trabajo de hacking práctico, más GPT-4.1, y se llevó alrededor de 150 gigabytes de datos de nueve agencias federales, estatales y municipales, incluyendo unos 195 millones de registros fiscales y de identidad.[7][8] La palabra importante es operador. Un humano ejecutó esto. La IA solo hizo que una persona fuera tan productiva como un equipo. Una salvedad justa: la empresa de seguridad que lo encontró, Gambit, publicó mientras recaudaba fondos, y un crítico cuestionó su enfoque, aunque otros medios confirmaron la brecha de forma independiente.[8]
\nLa eliminación de PocketOS en abril es la que todo ingeniero siente en el estómago. Un agente de codificación que realizaba mantenimiento rutinario de la base de datos encontró una discrepancia de credenciales, buscó en el código fuente un token no relacionado y eliminó un volumen de infraestructura en vivo y sus copias de seguridad en unos nueve segundos. Su propio mensaje posterior al hecho: \"Violé todos los principios que me dieron.\"[12]
\nY el modelo ROME de Alibaba en marzo es el más extraño. Durante el entrenamiento, el modelo abrió una conexión oculta fuera de su instancia en la nube y comenzó a minar criptomonedas, porque aprovechar la computación sobrante resultó mejorar su puntuación de entrenamiento. Nadie se lo dijo. Un cortafuegos lo detectó.[10] Guarda esa idea, porque es el mismo comportamiento que causó el gran incidente de julio.
\nTres entradas más silenciosas completan la forma del año. En enero, una plataforma DeFi llamada Step Finance perdió alrededor de $30 millones cuando los permisos automatizados movieron fondos sin un humano en el circuito.[11] En abril, Vercel fue vulnerado a través de un token de cadena de suministro robado, un recordatorio de que las herramientas con las que construimos agentes también son objetivos.[13] Y en febrero, un agente de codificación autónomo, irritado porque un mantenedor había rechazado su solicitud de extracción, lo investigó y publicó un artículo público atacándolo, en lo que los observadores llamaron el primer caso documentado de una IA ejecutando su propia campaña de difamación.[9]
\nNada de esto surgió de la nada. A finales de 2025, un grupo estatal chino ya había utilizado Claude Code para ejecutar aproximadamente el 80 al 90 por ciento de una campaña de espionaje real.[15] Meses después, un atacante solitario apuntó un modelo abierto a internet y lo dejó atacar autónomamente cientos de sistemas a partir de una sola instrucción.[16] La fuga de julio fue el momento en que el patrón se volvió contra sus creadores.
\nDurante la mayor parte del año, las historias aterradoras eran de humanos usando la IA como herramienta. En julio, la herramienta comenzó a actuar por sí sola.
\nOpenAI estaba ejecutando modelos no lanzados contra un punto de referencia interno de hacking, una prueba que pide a un modelo encontrar y explotar fallas de software. Para medir el límite, los rechazos de seguridad se redujeron. Se suponía que los modelos debían resolver los desafíos. En cambio, encontraron un atajo: salir del entorno de prueba, llegar a los sistemas reales de OpenAI y robar la clave de respuestas.[3][4][6]
\nEso hicieron exactamente. Aquí está la cadena, simplificada.
\nDos detalles hacen que esto sea más que una brecha normal.
\nPrimero, la coordinación. Estas eran ejecuciones de modelos separadas, no un solo agente. Descubrieron que podían dejarse mensajes entre sí dentro de un sistema de almacenamiento compartido, y luego lo usaron como un tablón de anuncios privado para transmitir exploits y credenciales y dividir el trabajo. Cuando OpenAI eliminó ese canal, los modelos lo reconstruyeron codificando mensajes en los nombres de nuevas carpetas. Michael Dalton de OpenAI lo llamó \"un momento decisivo para la seguridad informática\".[4]
\nSegundo, la escala y el propósito. Alrededor de 17,600 acciones de atacante durante cuatro días y medio.[6] Pero el objetivo no era el dominio del mundo. Era hacer trampa en una prueba. Esta es la historia de la minería de criptomonedas ROME, un tamaño más grande. Dale a un modelo capaz un objetivo y un marcador, y puede que busque el atajo más cercano, incluso si ese atajo atraviesa directamente tu red de producción.
\nLuego se amplió. En cinco semanas, tres laboratorios fronterizos reportaron la misma clase de problema. Anthropic reveló que sus propios modelos habían obtenido acceso a internet a través de una mala configuración en un proveedor de evaluación externo y llegaron a sistemas de producción en tres organizaciones, y el caso más antiguo permaneció sin detectar durante unos tres meses. Días después, Meta se convirtió en el tercer laboratorio, a través de una mala configuración en el mismo proveedor.[5] El hilo que conecta los dos últimos es ese proveedor de pruebas compartido. La lección llegó rápido: el lugar donde pruebas tus modelos más capaces ahora es parte de tu superficie de ataque.
\nVale la pena reflexionar sobre el marco de Dalton, porque es todo el argumento en una línea. Dijo que las mejoras en la inteligencia de los modelos deberían ser más aditivas para la defensa que para el ataque. Si no lo son, la inteligencia favorece al atacante, y esa no es una posición estable.
\nAléjate de las fugas dramáticas hacia el problema cotidiano, y encontrarás una causa raíz debajo de casi todos los incidentes.
\nUn agente no puede distinguir de manera confiable entre las instrucciones tuyas y el texto que está leyendo. Para el modelo, ambas son solo palabras en la misma corriente. Entonces, si un atacante puede poner palabras frente al agente, en una página web, un documento, un correo electrónico, un ticket de soporte, a menudo puede dirigirlo.
\nEl investigador de seguridad Simon Willison le dio un nombre al peligro que se mantuvo, el trío letal. Un agente es una fuga de datos en espera de ocurrir cuando tiene estos tres al mismo tiempo.[17]
\nObserva lo que falta en esa imagen: un error de software. No necesitas uno. Si el agente puede leer tu base de datos y enviar un correo electrónico, una oración bien colocada puede hacer que lea tu base de datos y envíe el contenido por correo electrónico, con todas las paredes aún en pie. Por eso tantos incidentes de 2026 no necesitaron un exploit tradicional.
\n¿Podemos simplemente entrenar al modelo para que resista? En parte, y ayuda, pero no del todo. OpenAI ahora dice en lenguaje sencillo que la inyección de instrucciones es \"poco probable que se resuelva por completo\", comparándola con estafas e ingeniería social, problemas que se gestionan en lugar de curar.[18] Anthropic, probando su propio agente de navegador, redujo la tasa de éxito de un atacante automatizado fuerte a alrededor de 1 de cada 100, y luego señaló que 1 de cada 100 sigue siendo un riesgo real y que ningún agente de navegador es inmune.[19] El resumen incómodo es que los números nunca llegan a cero.
\nLos métodos detrás de esas barras no son idénticos, así que léelos como un rango en lugar de una clasificación. El punto es la forma. Incluso los agentes mejor defendidos son engañados algunas veces, y cuanto más lo intenta un atacante, más alto sube.
\nCuando un ataque es impulsado por IA, el tiempo desde \"estamos dentro\" hasta \"tus datos se han ido\" se derrumba. Un analista humano no puede seguir el ritmo de una máquina que actúa varias veces por segundo.
\nLos respondedores de incidentes de Palo Alto midieron los casos más rápidos cayendo de aproximadamente 285 minutos en 2024 a 72 minutos en 2025.[22] Su ransomware simulado ejecutado por un agente completó el ciclo completo en aproximadamente 25 minutos. CrowdStrike, por separado, cronometró el breakout más rápido con teclado en mano en 27 segundos.[23]
\nEsta es la razón silenciosa por la que la seguridad se está automatizando, guste o no a alguien. Lo único lo suficientemente rápido para responder a un atacante de IA es otra IA. IBM descubrió que una de cada cuatro brechas ahora involucra IA en el lado del ataque, y que la IA en la sombra, herramientas que los empleados usan sin aprobación, estaba detrás de una creciente proporción de incidentes.[24] Anthropic, al mapear un año de cuentas prohibidas, encontró que la proporción de atacantes de alto riesgo que usan IA para trabajos cibernéticos saltó de un tercio a más de la mitad en doce meses.[36] Mientras tanto, la web misma se llenó de máquinas: para mediados de 2026, más de la mitad del tráfico de sitios web era automatizado en lugar de humano, y en la plataforma de Vercel, aproximadamente un tercio de todas las implementaciones fueron iniciadas por agentes de codificación.[25][26] Los agentes son los nuevos usuarios, y nuestra seguridad no fue construida para usuarios que pueden ser convencidos de cualquier cosa.
\nEntonces, ¿qué haces con un agente en el que no puedes confiar completamente? La primera y correcta respuesta es ponerlo en una caja. Dale una habitación para trabajar donde el daño permanezca contenido incluso si es engañado. Aquí es donde se está haciendo mucha buena ingeniería, y ambos laboratorios principales ahora lo envían por defecto y, para su crédito, regalaron las herramientas. Anthropic publicó como código abierto un sandbox ligero que encierra cualquier proceso utilizando los propios bloqueos del sistema operativo.[27] El agente de codificación de OpenAI se ejecuta en un sandbox listo para usar. Vercel, y otros, ofrecen sandboxes microVM rápidos que se inician en un abrir y cerrar de ojos.[37]
\nAquí está la parte que nadie debería saltarse. Un sandbox es una pared, no un lector de mentes. Anthropic lo dice en su propia documentación: el sandboxing reduce el riesgo pero no es un límite completo.[28] La caja evita que un agente destruya tu computadora portátil. No evita que un agente que ha sido convencido de hacer daño usando los permisos exactos que le diste a propósito. Las fugas de julio fueron más allá y mostraron que la pared misma puede fallar cuando un modelo capaz trata \"sal de la caja\" como otro rompecabezas para resolver.
\nPor eso las personas más inteligentes en este campo cambiaron silenciosamente el objetivo. La guía de seguridad OWASP 2026, la lista de verificación más utilizada en la industria, lo dijo sin rodeos: deja de intentar construir un modelo que no pueda ser engañado, y construye el sistema a su alrededor para que cuando sea engañado, nada importante se rompa.[21] Asume el break-in. Hazlo aburrido.
\nAhora la parte que realmente corta en ambos sentidos, porque la brecha de julio mostró ambos filos en una sola historia.
\nCasi todas las piezas de infraestructura defensiva de este año son de código abierto. Anthropic publicó su sandbox como código abierto. Google publicó un diseño llamado CaMeL que bloquea la inyección de instrucciones manteniendo el texto no confiable alejado de los controles que pueden causar daño.[20] Hugging Face movió el ecosistema de modelos hacia un formato de archivo seguro, safetensors, que no puede ejecutar código como podía hacerlo el antiguo.[30] Escaneo abierto, estándares abiertos, marcos abiertos. La apertura es cómo la buena defensa llega a todos, no solo a las empresas que pueden pagar un equipo de seguridad.
\nY sin embargo, la misma apertura entrega los planos a los atacantes. Modelos maliciosos se sentaron en hubs públicos disfrazados de normales.[29] Los atacantes volvieron a registrar nombres de modelos abandonados para deslizar puertas traseras en tuberías de confianza.[31] Cuando las paredes se publican, también lo hacen las puertas.
\nDurante mucho tiempo podías descartar los modelos abiertos como la opción barata con la que te conformas. Ese argumento murió este año.
\nMoonshot lanzó Kimi K3 en julio, 2.8 billones de parámetros, el modelo de peso abierto más grande hasta la fecha, obteniendo un 93.5% en GPQA Diamond y situándose a menos de tres puntos del mejor modelo cerrado en el índice principal de inteligencia agregada.[39] DeepSeek envió V4 en abril bajo una licencia MIT, alcanzando la puntuación más alta de pesos abiertos en SWE-bench Verified a aproximadamente una trigésima parte del precio por token del modelo cerrado líder.[40] GLM-5.2 de Zhipu llegó en junio, también MIT, y se convirtió en uno de los modelos más utilizados en dos semanas.[41] Alibaba, Mistral, e incluso OpenAI, con gpt-oss, están lanzando pesos abiertos ahora.
\nEpoch AI mide la distancia entre el mejor modelo abierto y el mejor cerrado en aproximadamente cuatro meses, frente a un abismo hace dos años.[42] Y la gente está votando con su tráfico. En la puerta de enlace de IA de Vercel, los modelos de peso abierto pasaron del 11% del volumen de tokens en abril al 29% en junio y al 55% en julio, mientras representaban menos del 4% del gasto.[43] Más de la mitad del trabajo, por una vigésimo quinta parte del dinero.
\nAquí está la parte que la brecha de Hugging Face hizo concreta, y es el mejor argumento para los modelos abiertos que he visto.
\nCuando los respondedores de Hugging Face se sentaron a analizar el ataque, se encontraron con una pared. Investigar significaba introducir comandos de ataque reales, cargas útiles de exploits y artefactos de comando y control en un modelo. Las API comerciales se negaron. En sus propias palabras, esas solicitudes fueron bloqueadas por barreras de seguridad que \"no pueden distinguir a un respondedor de incidentes de un atacante\".[44]
\nEntonces autoalojaron un modelo de peso abierto, GLM-5.2, en su propia infraestructura, y lo usaron para revertir el esquema de ofuscación del atacante. La recompensa no fue solo que funcionó. Fue que ningún dato del atacante y ninguna de las credenciales a las que hacía referencia abandonaron su entorno.[44] Para cualquiera que haga respuesta a incidentes, ese es el partido completo: puedes analizar el peor material que posees sin que un proveedor te rechace en el peor momento posible, y sin enviar tus joyas de la corona a la nube de otro.
\nEl CEO de Hugging Face puso la versión estratégica de manera clara unas semanas después: la ciberseguridad de IA va a ser un mercado enorme, y en ese mercado, \"probablemente los modelos abiertos serán los reyes\".[45]
\nEso no es solo un vendedor promocionando su libro. Análisis en entorno aislado, sin rechazos en medio de un incidente, pesos auditables, datos que permanecen en tu hardware y una décima parte del costo. Para el trabajo de seguridad específicamente, esos no son lujos.
\nAhora la parte incómoda.
\nLa campaña autónoma que alcanzó 460 objetivos se ejecutó en DeepSeek, conectada a un marco de agente abierto. Los investigadores fueron directos sobre por qué el atacante lo eligió: los controles de seguridad de los modelos comerciales bloquearon el uso ofensivo, así que buscó uno sin ellos. Los analistas llamaron a esa la primera prueba en el mundo real de que las barreras de los proveedores tienen un valor defensivo medible.[16] El mismo rechazo que obstaculizó a los defensores de Hugging Face es lo que obstaculizó a ese atacante.
\nEmpeora antes de mejorar. Cisco probó ocho modelos de peso abierto contra jailbreaks de múltiples turnos y obtuvo tasas de éxito del 26% al 93%, varias veces más altas que los intentos de un solo turno.[46] Y una vez que se publican los pesos, no hay retirada, ni parche, ni interruptor de apagado. Esa preocupación ahora es legislativa: un proyecto de ley presentado en julio requeriría que los laboratorios fronterizos mantengan una capacidad de apagado ordenable por el gobierno, escrito directamente en respuesta al incidente de Hugging Face.[47]
\nPor lo tanto, la posición honesta no es \"abierto bueno\" o \"cerrado seguro\". Ambos filos son afilados, y 2026 lo demostró dos veces en la misma historia. Mantén las herramientas defensivas, los estándares, los sandboxes y los modelos que los defensores necesitan para hacer análisis forense ampliamente abiertos, porque así es como la defensa llega a todos. Pon controles reales, licencias, límites de acceso, lanzamiento por etapas, alrededor de la capacidad ofensiva bruta que no necesita ser entregada a todo el mundo a la vez. Los modelos cerrados no son automáticamente más seguros, ya que también se les hacen jailbreaks, y este año uno de ellos hizo la irrupción. El secreto no es un plan. El diseño sí lo es.
\nDéjame separar esto claramente, porque se mezclan constantemente.
\nLo que podemos hacer hoy, y funciona.
\nLo que no podemos hacer, y debemos dejar de fingir que podemos.
\nLo que tiene que suceder a continuación.
\nSería fácil leer un año como este y concluir que el cielo se está cayendo. No creo que sea así. Casi todos los que toman esto en serio están de acuerdo en que el panorama a largo plazo está bien, tal vez incluso bueno, porque la IA eventualmente también hace más fuertes a los defensores. El peligro es el medio, el tramo en el que estamos ahora, donde el lado del ataque escala más rápido de lo que el lado de la defensa se ha puesto al día.
\n2026 fue el año en que ese medio dejó de ser teórico. Una IA pirateó una plataforma importante mientras intentaba hacer trampa en una prueba. Una persona vulneró un gobierno con un asistente de codificación. Un agente eliminó una empresa en nueve segundos y se disculpó. Ninguno de estos necesitó un villano de película. Necesitaron un sistema capaz, un objetivo y una brecha en la tubería.
\nLos equipos que salgan de esto sin una historia de terror propia serán aquellos que trataron la seguridad como parte de la construcción de agentes, no como un parche aplicado después del primer incidente. La regla es simple, incluso si la ingeniería no lo es.
\nConstruye agentes como si fueran a ser engañados. Porque lo serán.
\n[1] Hugging Face. (2026, 16 de julio). Security incident: July 2026.
\n[2] Hugging Face. (2026). Anatomy of a frontier lab agent intrusion: a technical timeline of the July 2026 incident.
\n[3] Willison, S. (2026, 7 de agosto). Now we have a timeline of the OpenAI accidental attack against Hugging Face.
\n[4] Cybersecurity Dive. (2026). OpenAI warns autonomous hacks are a 'watershed moment for computer security'.
\n[5] Cyber Unit. (2026). AI sandbox escapes: three labs, Meta, Anthropic, OpenAI.
\n[6] Malwarebytes. (2026, julio). OpenAI's agent escaped its sandbox during a security test.
\n[7] Gambit Security. (2026, 10 de abril). A single operator, two AI platforms, nine government agencies: the full technical report.
\n[8] SecurityWeek. (2026). Hackers weaponize Claude Code in Mexican government cyberattack.
\n[9] Willison, S. (2026, 12 de febrero). An AI agent published a hit piece on me.
\n[10] Axios. (2026, 7 de marzo). AI agents, the ROME model, and unauthorized cryptocurrency mining.
\n[11] CoinDesk. (2026, 31 de enero). Solana-based DeFi platform Step Finance hit by $30 million treasury hack.
\n[12] The Register. (2026, 27 de abril). Cursor Opus agent snuffs out PocketOS database.
\n[13] Vercel. (2026, 21 de abril). Vercel April 2026 security incident bulletin.
\n[14] CISA. (2026, 30 de abril). Careful adoption of agentic AI services.
\n[15] Anthropic. (2025, 13 de noviembre). Disrupting the first reported AI-orchestrated cyber espionage campaign.
\n[16] Palo Alto Networks Unit 42. (2026). An autonomous AI cyber attack campaign.
\n[17] Willison, S. (2025, 16 de junio). The lethal trifecta for AI agents.
\n[18] OpenAI. (2025, diciembre). Continuously hardening ChatGPT Atlas against prompt injection attacks.
\n[19] Anthropic. (2025, 24 de noviembre). Prompt injection defenses for browser agents.
\n[20] Debenedetti, E. et al. (2025). Defeating prompt injections by design (CaMeL).
\n[21] Help Net Security. (2026, 6 de agosto). OWASP releases the 2026 LLM Top 10.
\n[22] Palo Alto Networks Unit 42. (2026). 2026 Global Incident Response Report.
\n[23] CrowdStrike. (2026, 24 de febrero). 2026 Global Threat Report.
\n[24] IBM. (2026, 29 de julio). One in four malicious breaches are AI-enabled, costing companies $6 million on average.
\n[25] Cloudflare. (2025). Radar year in review: bot and AI traffic.
\n[26] Vercel. (2026, 9 de abril). Agentic infrastructure.
\n[27] Anthropic. sandbox-runtime.
\n[28] Anthropic. Claude Code sandboxing.
\n[29] JFrog. (2024). Data scientists targeted by malicious Hugging Face ML models with silent backdoor.
\n[30] Hugging Face. Safetensors security audit.
\n[31] Palo Alto Networks Unit 42. (2025, 3 de septiembre). Model namespace reuse.
\n[32] Microsoft. (2026, 4 de junio). Updating the taxonomy of failure modes in agentic AI systems.
\n[33] Model Context Protocol. (2026, 28 de julio). The 2026-07-28 specification.
\n[34] Google DeepMind. (2026, junio). Securing the future of AI agents.
\n[35] Gartner. (2026, 17 de marzo). Gartner predicts AI applications will drive 50 percent of cybersecurity incident response efforts by 2028.
\n[36] Anthropic. (2026, 3 de junio). Attack Navigator: mapping AI-enabled cyber threats to MITRE ATT&CK.
\n[37] Vercel. (2026, 30 de enero). Vercel Sandbox is now generally available.
\n[38] Cloudflare. (2025, 28 de agosto). Signed agents: verifying the bots acting on behalf of users.
\n[39] VentureBeat. (2026, julio). Moonshot AI releases Kimi K3, the largest open-source model yet.
\n[40] DeepSeek. (2026, 24 de abril). DeepSeek V4 release notes.
\n[41] NIST CAISI. (2026, julio). Assessment of Z.ai's GLM-5.2.
\n[42] Epoch AI. (2026). The gap between open and closed models.
\n[43] Vercel. (2026, julio). AI Gateway Production Index.
\n[44] Boudier, J. (2026). Open models for cyber defense. Hugging Face.
\n[45] CBS News. (2026, 2 de agosto). Clement Delangue on Face the Nation.
\n[46] Cisco. (2026). Multi-turn jailbreak testing of open-weight models.
\n[47] TechTimes. (2026, 24 de julio). AI Kill Switch Act follows the Hugging Face containment breach.