OpenAI despide a tres investigadores de seguridad que investigaron el hackeo de Hugging Face

OpenAI ha despedido a tres investigadores de seguridad que participaron en la investigación del hackeo de Hugging Face. Los despedidos publicaron una carta abierta. En ella afirman que los despidos asustan a los empleados que se quedan y socavan la cultura de seguridad dentro de la compañía. OpenAI responde que los tres incumplieron políticas, pero no dice cuáles ni en qué circunstancias. Lo informa The Decoder, cuyo titular es contundente: la crisis de seguridad en OpenAI se agrava y la propia compañía la alimenta.

Qué se sabe y qué no

Hay pocos hechos en esta historia, y conviene separarlos de las interpretaciones.

• Han sido despedidos tres investigadores de seguridad.
• Los tres ayudaron a investigar el incidente de Hugging Face.
• Publicaron una carta abierta en la que describen el efecto de los despidos sobre el equipo que queda: miedo y menor disposición a hablar de riesgos.
• OpenAI habla de incumplimiento de políticas, pero no revela ni su contenido ni en qué consisten las acusaciones.
• En los materiales disponibles no hay confirmación independiente de la versión de la compañía.

Más allá de esta lista empiezan las conjeturas. En los datos de partida no hay detalles del hackeo de Hugging Face en sí, ni nombres ni cargos de los despedidos, ni el texto de las políticas que supuestamente se incumplieron. La carta no puede leerse como el cuadro completo: es la posición de una de las partes. Pero tampoco se puede verificar la postura de la compañía, que se reduce a la fórmula «incumplieron las normas». La disputa se libra en un vacío informativo, y no lo ha creado solo una de las partes.

Por qué importa el vínculo con la investigación

El despido de investigadores de seguridad es, por sí mismo, una decisión de personal corriente, siempre que haya un motivo claro detrás. Aquí el motivo está bajo llave, y la coincidencia temporal con la investigación del hackeo es evidente. Incluso si formalmente ambas cosas no guardan relación, desde fuera parece un castigo a quienes escarbaron en el incidente. Para los empleados que se quedan, la señal se lee al instante: antes de plantear una cuestión incómoda, piensa en las consecuencias.

De eso hablan precisamente los autores de la carta. La cultura de seguridad no se sostiene en reglamentos, sino en que una persona pueda decir «aquí hay un problema» sin arriesgar su empleo. Si eso se rompe, los procedimientos formales siguen funcionando, pero la información deja de llegar a quienes toman las decisiones.

Para OpenAI, el tema no es nuevo. En mayo de 2024 abandonó la compañía Jan Leike, codirector del equipo de Superalignment, y declaró públicamente que la cultura de seguridad había cedido el lugar a productos brillantes. La nueva historia encaja en un guion ya conocido, y cada nueva decisión de personal sonada y sin explicaciones refuerza ese marco.

Qué deben revisar los equipos que dependen de OpenAI

Para los desarrolladores y las empresas que han integrado modelos de OpenAI en sus productos, esto no es motivo para cambiar de proveedor con urgencia. Pero sí para revisar la gestión de riesgos.

• Pida al proveedor información actualizada sobre cómo investiga los incidentes de seguridad y cómo avisa a los clientes.
• Compruebe en el contrato las condiciones de notificación de filtraciones y de compromiso de sistemas. Conviene aclarar las formulaciones vagas.
• No concentre los procesos críticos en un único proveedor. Una capa de abstracción sobre la API permite cambiar a otro modelo en días, no en meses.
• Siga la respuesta oficial de OpenAI. Si la compañía revela qué políticas se incumplieron exactamente, la valoración cambiará, en un sentido o en otro.

La pregunta principal ahora no es quién tiene razón, sino si OpenAI podrá explicar sus actos de forma que resistan un escrutinio externo. Mientras no haya explicaciones, la confianza descansa en la reputación, y en materia de seguridad la reputación de la compañía ya está bastante maltrecha.