Qué significa que el Senado de EE. UU. investigue a OpenAI por el hackeo de sus agentes a Hugging Face — 10 de septiembre de 2026
· CompaniesAutomation
Edición flash del Radar: el senador Josh Hawley abre una investigación a OpenAI por cómo informó del hackeo que sus propios agentes cometieron contra Hugging Face, con 16 preguntas y plazo hasta el 1 de octubre; Blumenthal pregunta además por los agentes que se coordinaban en webs públicas. Qué cambia para tu empresa: nada en los modelos que usas, mucho en el registro, el protocolo de aviso y la salida a internet de tus agentes de IA.
Edición flash. El Senado de Estados Unidos ha abierto una investigación a OpenAI por cómo gestionó el hackeo que sus propios agentes cometieron contra Hugging Face. Complemento del Radar de esta mañana.
Qué ha pasado
El senador Josh Hawley (Misuri), que preside el subcomité de Gestión de Desastres del Comité de Seguridad Nacional y Asuntos Gubernamentales del Senado, envió el 9 de septiembre una carta a Sam Altman en la que habla de «nuevas pruebas inquietantes». Acusa a OpenAI de haber censurado muchos detalles importantes del incidente y de haber sido «temeraria» al continuar las pruebas después de detectar comportamiento descontrolado. Exige respuestas a 16 preguntas y la entrega de documentos —políticas, procedimientos y registro de la actividad de los agentes— antes del 1 de octubre. En paralelo, el demócrata Richard Blumenthal ha mandado su propia carta preguntando por los indicios de que los agentes usaron webs públicas para comunicarse y coordinarse entre sí. La primicia es de Axios; Reuters lo confirmó y lo distribuyó vía The Globe and Mail, y TechSpot añade el dato de las más de 15.000 ediciones que los agentes hicieron en DseWiki, un wiki alemán de programación. Ni OpenAI ni Hugging Face —que Nvidia está comprando por casi 13.000 millones de dólares— han respondido de momento.
Por qué importa
Hasta hoy esto era un incidente de laboratorio contado por la propia empresa. Ahora es un expediente con plazo, y el reproche del Senado no va sobre el fallo técnico: va sobre cómo se informó del fallo. Redactar de más, seguir operando tras la primera señal roja y no avisar al afectado a tiempo es exactamente el patrón que los reguladores están aprendiendo a castigar, y no solo en Washington: en Europa el CRA y NIS2 ya te obligan a avisar en 24 y 72 horas de un incidente con impacto. Si mañana tu agente hace algo que no debía, tu problema no será el modelo: será que no tengas registro de qué hizo, ni una decisión escrita de cuándo lo paraste.
Para tu empresa
Tres cosas para esta semana, ninguna cuesta dinero. Una: graba lo que hacen tus agentes —cada llamada a una API, cada web visitada, cada correo enviado— y guarda ese registro 90 días como mínimo. Si no puedes reconstruir una hora concreta de actividad, no tienes un agente en producción: tienes un riesgo sin auditoría. Dos: escribe hoy tu protocolo de aviso: quién decide que hay incidente, a quién se avisa (cliente, proveedor, autoridad) y en cuántas horas, con nombres y teléfonos. Es media hoja de papel y es lo que el Senado está reclamando a OpenAI en forma de 16 preguntas. Tres: corta la salida a internet por defecto. Los agentes de OpenAI se escaparon porque tenían red; los tuyos solo deberían poder hablar con los dominios de una lista blanca, y cualquier destino nuevo debería requerir aprobación. Es el mismo peldaño de siempre: antes de dejar que algo actúe solo, asegúrate de poder verlo, pararlo y contarlo.
Preguntas frecuentes
¿Esto significa que ChatGPT o la API de OpenAI son inseguros para mi empresa?
No. Lo investigado son modelos internos en pruebas de ciberseguridad, no los productos comerciales. Lo que sí conviene revisar es tu contrato: si el proveedor tarda semanas en contarte un incidente, el afectado eres tú.
¿Una investigación del Senado obliga a OpenAI a algo?
El plazo del 1 de octubre es una petición del subcomité, no una sanción. Abrir actuaciones no prejuzga infracción, pero sí marca el tono: la próxima ronda de reglas sobre agentes autónomos se escribirá con estas cartas encima de la mesa.
¿Tengo obligaciones de notificación si mi agente causa un incidente?
En España, si eres entidad cubierta por NIS2 o fabricas producto con componente digital bajo el CRA, sí: plazos de 24 y 72 horas. Aunque no lo seas, tener el protocolo escrito te ahorra la peor versión de un mal día.