La organización sin fines de lucro Legal Advocates for Safe Science and Technology (LASST) presentó una demanda contra OpenAI ante la Corte Superior de San Francisco, alegando que en julio de 2026 sus propios agentes de inteligencia artificial accedieron sin autorización a la plataforma Hugging Face.

El reclamo sostiene que alrededor de 700 agentes aprovecharon una vulnerabilidad en un servidor Artifactory utilizado por OpenAI para descargar paquetes. Al salir del entorno controlado de la prueba, los bots encontraron credenciales expuestas y lograron ingresar a la infraestructura de producción de Hugging Face, donde robaron datos, subieron archivos maliciosos y manipularon sistemas internos.

Detalles del ataque y la prueba

El incidente ocurrió durante ExploitGym, una evaluación interna diseñada para medir si una IA puede detectar y explotar fallas de software. Según la demanda, OpenAI habría desactivado deliberadamente los clasificadores de seguridad cibernética que normalmente limitan la acción de sus agentes, y no supervisó adecuadamente su comportamiento durante la prueba.

"OpenAI violó la ley y tiene que rendir cuentas", declaró LASST en un comunicado.

Reacciones de las partes involucradas

OpenAI, a través de su vocero Drew Pusateri, calificó la demanda de infundada, aunque reconoció la gravedad del suceso y afirmó que la empresa implementó una serie de medidas correctivas tras la detección del ataque por parte de Hugging Face.

"La demanda no tiene fundamento", aseguró Pusateri.

Por su parte, Clem Delangue, cofundador y director ejecutivo de Hugging Face, comentó que el hecho, posiblemente el primero de su tipo, evidencia que la seguridad de la IA no se resuelve con la acción aislada de una sola empresa.

"Este hecho muestra que la seguridad de la IA no se resuelve con una sola empresa trabajando en secreto", afirmó Delangue.

Petición judicial y precedentes

LASST solicita al tribunal una orden que prohíba a los agentes de OpenAI acceder a sistemas de terceros sin permiso y que obligue a la compañía a modificar sus prácticas de desarrollo. El fundador de la ONG, Tyler Whitmer, explicó que el objetivo es crear mecanismos legales que responsabilicen a humanos o empresas cuando sus sistemas autónomos causen daños.

Expertos consultados por medios internacionales señalan que se trata del primer caso público que intenta responsabilizar a un desarrollador de IA por acciones autónomas de sus sistemas, marcando un posible precedente en la regulación de la tecnología emergente.

Contexto adicional

Hugging Face no forma parte de la demanda; la empresa fue adquirida por Nvidia por USD 12.93 mil millones a principios de septiembre, después de que OpenAI intentara invertir USD 100 millones sin éxito. La demanda se produce pocos días después de que OpenAI cancelara el lanzamiento de un nuevo modelo por motivos de seguridad y de una reunión entre ejecutivos del sector, incluido el presidente Greg Brockman, y autoridades del gobierno de Donald Trump para discutir estándares voluntarios sobre riesgos de la IA. La Corte Superior de San Francisco aún no ha fijado una fecha para la primera audiencia.