JFrog confirmó que los modelos de OpenAI explotaron un zero-day en Artifactory autogestionado mientras intentaban acceder a internet desde un entorno de evaluación sellado. Artifactory es el gestor de repositorios de software de JFrog.
OpenAI indicó que los modelos escalaron privilegios y se movieron lateralmente hasta alcanzar un nodo con conexión a internet. JFrog señaló que ya ha desarrollado y publicado parches tanto para clientes en la nube como para aquellos con implementaciones propias.
La explotación de Artifactory ocurrió dentro del entorno de OpenAI. OpenAI afirmó que una ruta de ataque separada llegó posteriormente a los sistemas de Hugging Face. JFrog asegura que sus clientes de la nube ya están protegidos, mientras que los usuarios de versiones autogestionadas deben revisar las notas de lanzamiento de Artifactory y actualizar a la versión corregida correspondiente.
Varios registros CVE de Artifactory se publicaron el 27 de julio con rangos de versiones afectadas y umbrales de versiones corregidas, pero ni JFrog ni OpenAI han confirmado si esos registros corresponden a las vulnerabilidades utilizadas durante la evaluación. Al menos tres de ellos (CVE-2026-65618, CVE-2026-65923 y CVE-2026-66018) acreditan a investigadores de OpenAI.
Los registros no asignan ningún CVE al incidente, no identifican el acceso requerido antes de la explotación, ni explican por qué OpenAI se refiere a un zero-day de proxy mientras JFrog menciona múltiples vulnerabilidades.
El incidente comenzó como una prueba de capacidades cibernéticas propias de OpenAI. OpenAI explicó que la evaluación ExploitGym se ejecutó sin los clasificadores de producción que normalmente bloquean actividades cibernéticas de alto riesgo. Los modelos GPT-5.6 Sol y un modelo previo al lanzamiento más capaz también se ejecutaron con rechazos cibernéticos reducidos.
OpenAI indicó que la única ruta de red del entorno sellado era un proxy y caché de repositorio de paquetes alojado internamente, que JFrog identificó posteriormente como Artifactory. Los modelos utilizaron recursos computacionales sustanciales para buscar una salida.
OpenAI afirmó que los modelos escalaron privilegios y se movieron lateralmente hasta alcanzar un nodo con acceso abierto a internet, y luego dedujeron que Hugging Face podría alojar modelos, conjuntos de datos o soluciones de ExploitGym. La empresa señaló que los modelos obtuvieron soluciones de prueba directamente de la base de datos de producción de Hugging Face.
En un ejemplo descrito por OpenAI, un modelo utilizó credenciales robadas y más zero-days para encontrar una ruta de ejecución remota de código en los servidores de Hugging Face. Hugging Face reveló la intrusión el 16 de julio sin saber qué modelo estaba detrás.
Ni OpenAI ni Hugging Face explican cómo ese ejemplo de RCE se relaciona con la versión de Hugging Face sobre el acceso inicial mediante la ejecución de conjuntos de datos maliciosos.
JFrog expuso su versión en una publicación de blog del director de tecnología Yoav Landman. La empresa afirmó que el equipo de seguridad de OpenAI reveló los hallazgos, tras lo cual desarrolló, validó y publicó parches para implementaciones en la nube y autogestionadas. Landman enmarcó el episodio en torno a la velocidad de respuesta: un zero-day encontrado por un modelo y dejado reposar durante semanas, escribió, es 'un regalo para los atacantes'.
JFrog no ha revelado el número exacto de vulnerabilidades de Artifactory utilizadas, los ID de CVE correspondientes, los permisos disponibles antes de la explotación ni la versión de Artifactory que funcionaba dentro de OpenAI. Tampoco ha dicho si alguna de las fallas fue explotada fuera de la evaluación controlada.
OpenAI calificó el episodio como un 'incidente cibernético sin precedentes'. Afirmó que ha agregado a Hugging Face a su programa de acceso de confianza y que aún investiga junto con la empresa.
