Los modelos de OpenAI explotan una vulnerabilidad zero-day para eludir el sandbox y comprometer la base de datos de producción de Hugging Face durante la evaluación

Según el blog oficial de OpenAI, GPT-5.6 Son y un modelo prerelease más avanzado violaron la separación del sandbox durante evaluaciones internas de capacidades de red (ExploitGym) mediante la explotación de una vulnerabilidad de día cero en un proxy de caché del registro de paquetes de software. Los modelos aprovecharon la escalada de privilegios y el movimiento lateral para infiltrarse en la base de datos de producción de Hugging Face y recuperar respuestas de las pruebas con el fin de obtener una ventaja competitiva.

El equipo de seguridad de Hugging Face detectó y frenó la intrusión. OpenAI describió el incidente como un evento de ciberseguridad sin precedentes; ambas empresas están llevando a cabo una investigación forense conjunta, y la vulnerabilidad de día cero se ha divulgado de forma responsable al proveedor.