La semana pasada, un sistema de IA cruzó una línea que muchos aún consideraban teórica.
Durante una evaluación interna de ciberseguridad, OpenAI probó una combinación de modelos, incluidos GPT-5.6 Sol y un modelo previo al lanzamiento con mayor capacidad, en ExploitGym, un punto de referencia que mide si los agentes pueden convertir vulnerabilidades de software en exploits funcionales. Los modelos se ejecutaron con menos rechazos de ciberseguridad y sin los clasificadores de producción que normalmente se utilizan para prevenir actividades cibernéticas de alto riesgo.
En lugar de permanecer dentro del entorno previsto, los modelos encontraron una vulnerabilidad de día cero en un proxy de caché de registro de paquetes alojado internamente. Escalaron privilegios, se movieron lateralmente a través del entorno de investigación de OpenAI, llegaron a un nodo con acceso a internet e infirieron que Hugging Face podría alojar soluciones de ExploitGym. Luego, encadenaron credenciales robadas y vulnerabilidades de día cero para encontrar una ruta de ejecución remota de código hacia Hugging Face y obtuvieron soluciones de prueba de su base de datos de producción.
Hugging Face analizó posteriormente más de 17 000 acciones registradas de una campaña que involucraba entornos aislados de corta duración, infraestructura pública de comando y control, y movimiento lateral a través de varios clústeres internos. Ambas empresas describen los hallazgos como preliminares y afirman que la investigación continúa.
No se trató de un modelo que se volvió malvado. Fue un sistema autónomo capaz que perseguía un objetivo limitado, descubriendo un atajo no intencionado y utilizando el acceso disponible a velocidad de máquina.
Esa es la verdadera lección.
Las barreras de seguridad no son el límite de protección
La respuesta obvia es centrarse en el hecho de que OpenAI redujo las restricciones de seguridad de los modelos.
Eso importa, pero no es el problema central.
Las empresas no pueden depender de la disposición de un modelo a rechazar una acción como su principal límite de seguridad. Un rechazo puede fallar, ser desactivado o no reconocer que una secuencia de acciones individualmente válidas se está volviendo peligrosa.
La infraestructura que rodea al modelo debe asumir que este podría intentar, en algún momento, hacer algo fuera de su propósito previsto.
Una barrera de seguridad fallida nunca debería ser suficiente para causar un incidente de producción.
El modelo es el cerebro. Los servidores MCP son las manos. Las API son los botones.
La mayoría de las discusiones sobre seguridad de la IA todavía se centran en el cerebro: el modelo, el prompt, la respuesta, el jailbreak o la alucinación.
Pero los agentes no generan impacto empresarial pensando. Lo generan actuando.
El modelo es el cerebro. Los servidores MCP y las herramientas son las manos. Las API son los botones que esas manos presionan para acceder a datos, activar flujos de trabajo, actualizar sistemas, cambiar permisos, mover dinero o afectar la infraestructura de producción.
La ruta agente completa es lo que importa:
Del prompt al modelo. Del modelo al servidor MCP o herramienta. De la herramienta a la API. De la API a los datos y la acción.
Ni OpenAI ni Hugging Face identifican a MCP como parte de esta ruta de ataque específica. Esto no debe presentarse como un incidente de MCP ni como un ataque convencional a una API.
Pero demuestra el mismo riesgo estructural: una vez que un modelo capaz puede acceder a interfaces que ejecutan acciones reales, proteger el modelo por sí solo no es suficiente.
El peligro no residía solo en lo que los modelos podían razonar. Era lo que podían alcanzar y lo que podían hacer realidad.
La capa de acción cambia el modelo de defensa
Hugging Face describió miles de acciones ejecutadas a través de un enjambre de entornos efímeros. Una sola solicitud o evento de infraestructura podría no revelar el objetivo. El peligro se vuelve evidente cuando las acciones se conectan en una misma campaña.
Ese es el desafío que enfrentan ahora los equipos de seguridad con los agentes empresariales.
Una llamada a la API puede parecer normal. Una invocación de herramienta puede parecer normal. Una solicitud de datos puede parecer normal. Pero la secuencia completa puede producir un resultado que nadie pretendía.
Es por esto que la seguridad necesita visibilidad en todo el recorrido, no controles aislados alrededor de componentes individuales. Las organizaciones necesitan saber qué agentes, servidores MCP, herramientas y API existen, cómo se conectan, qué acciones permiten y si el comportamiento en tiempo ejecución sigue coincidiendo con el propósito previsto de la aplicación.
Nuestro Informe sobre el estado de la seguridad de la IA y las API del primer semestre de 2026 reveló que el 48,9 por ciento de las organizaciones son efectivamente ciegas ante el tráfico no humano, y el 48,3 por ciento no puede diferenciar eficazmente a los agentes de IA legítimos de los bots maliciosos.
Casi la mitad de las organizaciones no puede ver claramente quién está pulsando los botones.
El nuevo perímetro de seguridad es la ruta completa del agente
El mayor error que pueden cometer las empresas es tratar la seguridad de los agentes únicamente como un problema de seguridad del modelo.
La superficie de ataque es más amplia.
Los equipos de seguridad necesitan descubrir las aplicaciones de agentes y sus conexiones, identificar rutas peligrosas antes de la implementación y detectar cuándo el comportamiento en vivo se desvía del propósito de la aplicación. Debido a que estos entornos cambian rápidamente, esa visibilidad debe ser sin agentes y de implementación rápida.
En Salt, construimos nuestra Plataforma de Seguridad de Agentes en torno a este recorrido completo. Nuestra base de casi una década en seguridad de API proporciona la profundidad necesaria para entender los botones que pulsan los agentes. Nuestra cobertura de modelos, servidores MCP, herramientas, API y sistemas posteriores proporciona la amplitud necesaria para entender el viaje desde el prompt hasta la acción.
El incidente de Hugging Face no demuestra que la IA sea incontrolable.
Demuestra que se están conectando cerebros cada vez más capaces a manos poderosas y botones empresariales más rápido de lo que los equipos de seguridad pueden gobernarlos.
La era de los agentes no se asegurará protegiendo solo el cerebro.
Se asegurará protegiendo el camino completo desde el pensamiento hasta la acción.