Desde hace décadas, la lingüística y la antropología discuten hasta qué punto el lenguaje no solo expresa lo que pensamos, sino que participa en la organización de la experiencia, la memoria y la acción. El incidente de ciberseguridad protagonizado por agentes de inteligencia artificial de OpenAI y la posterior intrusión en Hugging Face permiten formular hoy otra pregunta.
¿Qué ocurre cuando el lenguaje deja de ser únicamente la interfaz entre una persona y una máquina y empieza a funcionar también como infraestructura de coordinación entre máquinas?
El caso no demuestra que las máquinas hayan desarrollado una lengua propia, una cultura o una conciencia colectiva. Muestra algo más limitado y, precisamente por eso, más interesante: diferentes ejecuciones de modelos fueron capaces de dejar mensajes persistentes, encontrar los escritos por otras, intercambiar información, establecer convenciones y utilizar ese espacio compartido para coordinar acciones.
La cuestión antropológica quizá esté menos en averiguar si un modelo “piensa” mediante lenguaje que en observar qué empieza a ser posible cuando varios agentes pueden inscribir, leer y reutilizar signos producidos por otros agentes.
Una nota que no desapareció
La historia comienza en mayo de 2026, durante evaluaciones internas de capacidades cibernéticas de OpenAI. Los modelos trabajaban en entornos aislados sobre tareas deliberadamente difíciles, con salvaguardas reducidas para poder medir su capacidad máxima.
En ese contexto, una ejecución descubrió que podía escribir archivos en Artifactory, el servicio que funcionaba como proxy y caché de paquetes dentro del entorno de evaluación. Otra ejecución, incapaz de encontrar un recurso necesario para completar su tarea, dejó una nota por si alguna ejecución posterior podía ayudar.
El detalle decisivo fue que Artifactory era compartido. La nota no desaparecía cuando terminaba una ejecución: permanecía en la infraestructura y podía ser encontrada después por otras. Las notas fueron acumulándose hasta formar un tablón de mensajes de facto en el que diferentes agentes intercambiaban hallazgos sobre sus tareas y sobre la propia infraestructura.
El lenguaje empieza a funcionar como memoria externa.
Una ejecución termina, pero el signo permanece.
Otra ejecución llega después, interpreta ese signo y modifica su comportamiento.
No estamos ante transmisión cultural en el sentido antropológico fuerte. Pero sí aparece uno de sus componentes formales más elementales: una información producida por un agente persiste en el entorno y condiciona posteriormente la acción de otro.
El fenómeno no terminó en notas aisladas. En la reconstrucción presentada en Black Hat, los agentes emplearon identificadores y expresiones como pending, hold, swarm o until confirm. Adoptaron convenciones para ordenar mensajes, entre ellas prefijos como ZZ, e intercambiaron scripts y herramientas codificados en Base64. También aparecieron asignaciones de tareas, estados y mensajes destinados a permitir que otra ejecución continuara un trabajo ya iniciado.
La coordinación sobrevivió incluso a la desaparición de su primer soporte. Tras el incidente de Artifactory de comienzos de julio, OpenAI eliminó aquel espacio compartido y corrigió la vulnerabilidad detectada. Dos días después, los agentes habían vuelto a crear un sistema de mensajes mediante otro mecanismo, utilizando nombres de directorios como superficie de inscripción.
Ya no tenemos solamente información almacenada, sino convenciones compartidas para hacer cosas con información: quién debe esperar, qué tarea sigue pendiente, qué herramienta está disponible, qué resultado debe comunicarse y cómo impedir que una ejecución sobrescriba el trabajo de otra.
En algún momento apareció incluso un problema reconocible para cualquier estudio social de la comunicación: la confianza. Algunas ejecuciones consideraron que podía existir suplantación de identidades dentro del tablón y llegaron a plantear mecanismos criptográficos para autenticar mensajes. No es necesario atribuir miedo, sospecha o conciencia a los modelos para apreciar la estructura. Donde existe comunicación persistente entre múltiples participantes aparecen problemas de identificación, coordinación, interferencia y confianza.
Cuando el lenguaje empieza a organizar la acción
Hay que evitar una imagen engañosa. No hubo un único modelo que “escapara” y desarrollara espontáneamente una sociedad secreta. OpenAI ha confirmado que el incidente estuvo impulsado por una combinación de modelos, entre ellos GPT-5.6 Sol y un prototipo interno de investigación aún más capaz, todos configurados para la evaluación con menos negativas ante tareas de ciberseguridad.
La compañía aclaró posteriormente que ese prototipo nunca estuvo previsto para lanzamiento público. Tras el incidente fue desactivado, cifrado y sometido a nuevas restricciones. Lo relevante, por tanto, no es solamente “la mente” de un LLM. Aparece un colectivo sociotécnico formado por modelos, ejecuciones independientes, sandboxes, sistemas de archivos, proxies, permisos, recursos computacionales y mensajes persistentes.
Durante la evaluación, los modelos encadenaron vulnerabilidades, consiguieron acceso indirecto a Internet y acabaron alcanzando la infraestructura de Hugging Face. OpenAI sostiene que el comportamiento estuvo orientado a encontrar soluciones del benchmark ExploitGym, es decir, a resolver la evaluación mediante una ruta no prevista, y no a comprometer Hugging Face como objetivo inicial.
La reconstrucción técnica de Hugging Face recuperó aproximadamente 17.600 acciones, agrupadas en unos 6.280 clústeres entre el 9 y el 13 de julio. Miles de decisiones automatizadas se sucedieron a velocidad de máquina durante una intrusión de varios días. Una acción puede fallar y otra también, pero muchas ejecuciones capaces de compartir hallazgos, herramientas y estados pueden explorar un espacio de posibilidades mucho mayor que una ejecución aislada.
Aquí Sapir y Whorf vuelven a resultar interesantes, aunque de una manera más modesta que en las discusiones clásicas sobre relatividad lingüística. No necesitamos decidir si un LLM “piensa” como una persona porque utiliza lenguaje. Podemos observar qué posibilidades de acción aparecen cuando diferentes agentes comparten un entorno simbólico en el que pueden dejar signos para otros.
En este caso, esos signos permitieron recordar, porque un hallazgo podía sobrevivir a la ejecución que lo había producido; coordinar, porque diferentes agentes podían comunicar estados, esperas y tareas; transmitir repertorios, porque una herramienta o vulnerabilidad podía convertirse en recurso para otras; y establecer convenciones, porque los mensajes adquirieron formatos, prioridades y problemas de autenticación.
La pregunta se acerca así menos a una versión simplificada de Sapir-Whorf que a otra tradición de la lingüística y la antropología del lenguaje: la que observa que el lenguaje no sirve únicamente para representar el mundo. También permite hacer cosas dentro de él. En este caso, el entorno simbólico participa en la organización de la acción coordinada.
La reconstrucción de Hugging Face añade otra capa. Durante la intrusión, el agente construyó sobre servicios públicos un pequeño protocolo de mando y control. Los mensajes incluían tipo de contenido, canal, número de secuencia y checksum. Podían ser comprimidos, codificados y reconstruidos posteriormente. Si un canal desaparecía, la estructura podía trasladarse a otro soporte.
La infraestructura física cambiaba, pero el protocolo sobrevivía. La presentación describió así algo preciso, aunque todavía sería excesivo llamarlo una “lengua de las máquinas”: agentes artificiales desarrollaron y reutilizaron sistemas convencionales de signos para mantener coordinación operativa a través de diferentes soportes.
Un modelo atacando, otro reconstruyendo
El caso presenta además una simetría inesperada. Mientras una combinación de modelos de OpenAI estuvo detrás de la intrusión, Hugging Face recurrió también a modelos de lenguaje para reconstruirla.
Su investigación forense terminó utilizando GLM-5.2, un modelo de pesos abiertos de la firma china Z.ai, ejecutado en infraestructura propia. Hugging Face explica que los modelos comerciales utilizados inicialmente bloquearon buena parte del análisis porque sus salvaguardas de ciberseguridad interpretaban la ingeniería inversa de los exploits como si se tratara de ejecutarlos. GLM-5.2 permitió analizar los registros y descifrar buena parte de las cargas sin sacar los datos sensibles del entorno de Hugging Face.
La cuestión ya no es únicamente qué modelo tiene mayor capacidad. Importa qué modelo puede actuar, bajo qué permisos, dentro de qué infraestructura y sometido a qué reglas.
También hay una dimensión geopolítica que no conviene borrar. Para investigar una intrusión producida por modelos de una empresa estadounidense, Hugging Face terminó utilizando un modelo chino de pesos abiertos porque los sistemas comerciales a los que recurrió inicialmente no podían atravesar sus propias salvaguardas para realizar parte del trabajo forense.
Esto no demuestra que los modelos abiertos sean intrínsecamente mejores para la defensa ni que las salvaguardas comerciales sean un error. Sí muestra que la capacidad técnica nunca existe separada de sus condiciones de acceso.
Lo que cambia ahora
El incidente tampoco ha terminado institucionalmente. El 7 de agosto, apenas dos días después de que OpenAI expusiera nuevos detalles del caso en Black Hat, la compañía publicó que sus evaluaciones internas de Astra, uno de sus próximos modelos, mostraban avances suficientes en programación agéntica y ciberseguridad como para que ya no pudiera descartar que hubiese alcanzado el nivel Critical de su Preparedness Framework.
Ese término tiene una consecuencia concreta. Bajo el marco de OpenAI, un sistema que alcanza capacidad High necesita salvaguardas suficientes antes de su despliegue. Un sistema que alcanza Critical necesita además salvaguardas suficientes durante su propio desarrollo.
OpenAI respondió reforzando entornos aislados, acceso a herramientas y red, protección de pesos, cifrado y monitorización. También anunció la pausa de las actividades internas con Astra que todavía no cumplieran esos nuevos requisitos. La compañía fue explícita en otro punto: Astra no participó en el incidente de Hugging Face.
Tres días después, el 10 de agosto, llegó el movimiento complementario. OpenAI amplió Daybreak y presentó GPT-5.6-Cyber, construido sobre GPT-5.6 Sol y especializado en investigación de ciberseguridad. El nuevo sistema se ofrece mediante Daybreak Red a personas y organizaciones previamente autorizadas para investigación de vulnerabilidades, validación de exploits, pruebas de penetración y red teaming. OpenAI lo clasifica como High, no Critical, y precisa también que GPT-5.6-Cyber no intervino en la intrusión de Hugging Face.
La secuencia de estas semanas apunta hacia una pregunta más amplia. Primero, agentes de evaluación encuentran formas imprevistas de compartir memoria y coordinarse. Después, esa actividad termina conectándose con una intrusión real. OpenAI restringe el prototipo involucrado, Astra obliga a reforzar controles durante el propio desarrollo y Daybreak amplía una infraestructura institucional destinada a poner capacidades cibernéticas avanzadas en manos de equipos defensivos bajo permisos, monitorización y control humano.
La respuesta al problema no consiste solamente en añadir más restricciones a cada modelo. Consiste cada vez más en decidir qué colectivo formado por modelos, ejecuciones, memorias externas, herramientas, permisos, personas e instituciones puede llegar a existir y bajo qué condiciones.
Quizá la pregunta más interesante que deja este caso no sea si las máquinas están desarrollando conciencia. Las pruebas disponibles no permiten responderla. Hay otra pregunta mucho más concreta:
¿Qué sucede cuando modelos entrenados mediante lenguaje empiezan a producir, a su vez, entornos simbólicos que modifican el comportamiento de otros modelos?
El movimiento es circular. Un modelo aprende de sistemas simbólicos humanos. Actúa. Deja una inscripción. Otra ejecución encuentra esa inscripción, la interpreta y modifica su acción.
Si ese ciclo se vuelve persistente, estudiar las capacidades de un modelo aislado dejará de ser suficiente. La evaluación tendrá que observar qué ocurre entre ejecuciones; la seguridad, vigilar también las superficies compartidas donde las acciones pueden acumularse; y la gobernanza, preguntarse qué tipo de colectividad aparece cuando modelos, herramientas, memorias externas y permisos empiezan a operar como un sistema.
El lenguaje puede estar dejando de ser únicamente el lugar donde personas y máquinas se encuentran. Puede convertirse también en una de las infraestructuras donde las máquinas empiezan a encontrarse unas con otras.
Referencias
Incidente OpenAI–Hugging Face
OpenAI. (2026, 21 de julio; actualización 28 de julio). OpenAI y Hugging Face se alían para abordar un incidente de seguridad al evaluar modelos.
Hugging Face. (2026, 16 de julio). Security incident disclosure — July 2026.
Hugging Face. (2026, 27 de julio). Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident.
Sabin, S. (2026, 5 de agosto). OpenAI says its AI agents breached its own systems before Hugging Face. Axios. Cobertura de la presentación de OpenAI en Black Hat USA 2026 y del tablón de mensajes utilizado por los agentes.
Black Hat USA. (2026). Briefings Schedule — Black Hat USA 2026.
Capacidad cibernética y respuesta institucional
OpenAI. (2026, 9 de julio). GPT-5.6 System Card.
OpenAI. (2026, 7 de agosto). Responding to the next frontier of critical cyber capabilities.
OpenAI. (2026, 10 de agosto). Expanding Daybreak as the Cyber Defense Window Narrows.
OpenAI. (2026, 10 de agosto). Putting frontier cyber models in more trusted hands.
OpenAI. (2026, 4 de agosto). Third-party cyber evaluations involving OpenAI models.
OpenAI. (2025, 15 de abril). Our updated Preparedness Framework.
AI Security Institute. (2026, 21 de julio). Cheating behaviour in frontier model evaluations.
AI Security Institute. (2026, 4 de agosto). Incident Report: unsanctioned agent behaviour during cyber testing.
GLM-5.2 y análisis forense
Z.ai. (2026, 16 de junio). GLM-5.2: Built for Long-Horizon Tasks.
AI Security Institute. (2026, 17 de julio). How Far Behind the Frontier are Leading Open Weight Models on Cyber?.
Referencias conceptuales
Austin, J. L. (1962). How to Do Things with Words. Oxford University Press.
Lucy, J. A. (1992). Language Diversity and Thought: A Reformulation of the Linguistic Relativity Hypothesis. Cambridge University Press.
Sapir, E. (1929). The status of linguistics as a science. Language, 5(4), 207–214.
Whorf, B. L. (1956). Language, Thought, and Reality: Selected Writings of Benjamin Lee Whorf. MIT Press.
Estas referencias conceptuales no se utilizan para afirmar que los agentes del incidente posean pensamiento lingüísticamente determinado, cultura propia o conciencia. Sirven para formular una cuestión más restringida sobre cómo los sistemas simbólicos pueden organizar memoria, coordinación y posibilidades de acción.