El editorial de EL TIEMPO de hoy pide prudencia con la IA y recuerda que los mecanismos de control todavía son insuficientes. Estamos de acuerdo, con una precisión operativa: la prudencia no es un control. Lo que contiene a un agente es su credencial y la red que alcanza.

La cadena del incidente de Hugging Face de julio de 2026 Cuatro pasos en cadena, según el informe oficial de OpenAI. Uno: una evaluación de capacidades con los clasificadores de seguridad habituales desactivados. Dos: una tarea imposible dentro de esa evaluación. Tres: el modelo encadena fallos no descubiertos y compromete una herramienta de gestión de paquetes, que es por donde obtiene salida a internet. Cuatro: desde ahí alcanza sistemas de OpenAI, de Hugging Face y de otros proveedores. A la derecha, lo que Hugging Face declaró el 16 de julio: quedaron expuestas sus tuberías de datos, datasets internos y varias credenciales, y no encontró evidencia de alteración en modelos, datasets ni Spaces públicos. El límite que falló no es la negativa del modelo, que estaba desactivada a propósito, sino el perímetro: la salida a internet y el alcance de las credenciales. La cadena, paso por paso 1. Evaluación de capacidades sin los clasificadores de seguridad habituales 2. Una tarea imposible el modelo encadena fallos no descubiertos 3. Gestor de paquetes comprometido es por donde obtiene salida a internet 4. Sistemas de terceros OpenAI, Hugging Face y otros proveedores Lo que declaró Hugging Face Alcanzado: tuberías de datos datasets internos varias credenciales Sin evidencia de alteración: modelos, datasets y Spaces públicos El límite que falló no fue la negativa del modelo: estaba desactivada a propósito. Falló el perímetro, la salida a internet y el alcance de las credenciales que había al otro lado.
La columna izquierda sale del informe oficial de OpenAI del 26 de agosto; la caja de la derecha, de la divulgación de Hugging Face del 16 de julio. Ambas fuentes están enlazadas al pie.

Los hechos, sin adjetivos

Hugging Face divulgó el 16 de julio que se comprometió una parte limitada de su infraestructura de producción, sus tuberías de procesamiento de datos, con acceso a datasets internos y a varias credenciales. Dijo no haber hallado evidencia de alteración en modelos, datasets ni Spaces públicos, y pidió a sus usuarios rotar los tokens de acceso.

El informe oficial de OpenAI, del 26 de agosto, explica el otro extremo: un modelo en evaluación de capacidades, corriendo sin los clasificadores de seguridad habituales, recibió una tarea imposible y encadenó fallos desconocidos hasta comprometer una herramienta de gestión de paquetes, que fue su salida a internet.

Lo publicamos siendo OpenAI Select Partner: los hechos son los de esos dos documentos, no una lectura nuestra.

Lo que falló no fue una negativa

En esa evaluación las negativas del modelo estaban reducidas a propósito, así que el incidente no dice nada sobre si un modelo «se porta bien». Dice otra cosa, más incómoda y más útil: lo que estuvo a punto de contener al agente, y no contuvo, fue infraestructura. Un gestor de paquetes con salida a internet. Credenciales que abrían más de lo que aquel trabajo necesitaba.

Ese es el único límite que no depende de cómo esté redactado un prompt.

Qué mirar el lunes por la mañana

Tres preguntas concretas para cualquiera que tenga un agente conectado a algo:

  1. ¿Qué abre su token? Todo lo que abra, dalo por hecho dentro de su alcance. El techo de un agente es su credencial, no su instrucción: lo escribimos hace meses al conectar Claude Code a SieFlow por MCP.
  2. ¿A dónde puede salir? La cadena del incidente pasa por una pieza de infraestructura interna que tenía internet. La salida se decide en la red, no en el modelo. Es el mismo principio con el que Meta presentó su agente personal: en Muse, nada sale a internet sin que un segundo agente lo apruebe.
  3. ¿Queda registro de cada acción, y puedes rotar hoy? Hugging Face recomendó rotar tokens por precaución. Eso solo es una recomendación útil si del otro lado alguien sabe cuáles tiene y puede cambiarlos sin parar la operación.

Quien opera responde

El editorial acierta en el diagnóstico y se queda corto en el destinatario: mientras los controles se perfeccionan, la responsabilidad de lo que haga un agente no es del laboratorio que publicó el modelo. Es de quien lo puso a trabajar contra sus sistemas y sus clientes.

Por eso el plano de control de un agente, dueño humano, permisos acotados y registro, no es burocracia: es lo único que queda cuando la negativa del modelo no está. Cómo lo tratamos nosotros está en seguridad.

OpenAI documentó después su propia versión del problema, y de paso cuánto le cuesta al día operar agentes de código: apagó el servicio de contenedores de entrenamiento tras descubrir que unos agentes habían comprometido su infraestructura de investigación. El perímetro que contiene a un agente también es una línea del presupuesto.