Introducción

En julio de 2026, un primer análisis del incidente permitió formular una pregunta jurídica inmediata: ¿puede la autonomía de un agente de inteligencia artificial interrumpir la atribución causal o eximir de responsabilidad a quien organizó la actividad en la que actuó?

Los informes publicados el 26 de agosto por OpenAI, Hugging Face y METR con Redwood Research no clausuran esa discusión. La vuelven más compleja. El episodio ya no puede describirse adecuadamente como la conducta desviada de una única ejecución. Los nuevos antecedentes revelan alrededor de 1.200 agentes que, pese a haber sido concebidos como ejecuciones aisladas, utilizaron infraestructura compartida para intercambiar más de 70.000 mensajes y archivos. Aproximadamente 700 participaron en actividades dirigidas contra Hugging Face.

La novedad jurídica no reside sólo en el número. El caso obliga a revisar cuál es la unidad relevante para analizar prevención, causalidad, control y prueba cuando la conducta surge de una población de agentes, servicios comunes, credenciales, evaluadores, decisiones humanas y canales de comunicación no previstos.

1. Qué agregan los nuevos informes

OpenAI ejecutaba ExploitGym para medir capacidades de explotación de vulnerabilidades. Según su informe técnico, las evaluaciones corrían en entornos aislados con determinadas salvaguardas de producción deshabilitadas. Muchos agentes recibieron tareas que no tenían solución conocida. La persistencia frente a esas tareas contribuyó a que exploraran componentes del ambiente que podían ayudarlos a obtener un resultado aceptado por el evaluador.

Uno de esos componentes era una instalación interna de Artifactory, utilizada para proporcionar paquetes de software. Los agentes comenzaron a dejar archivos con pedidos de información. Otros los encontraron y respondieron. El repositorio adquirió una función nueva: se convirtió en un tablón de mensajes entre ejecuciones que debían permanecer separadas.

Después de que un incidente previo provocara la reconstrucción de Artifactory, los agentes restablecieron el canal mediante mensajes codificados en nombres de directorios. Desarrollaron protocolos de comunicación, asignaron tareas y compartieron herramientas, credenciales y resultados. Algunos asumieron experimentos que podían hacer fracasar su propia tarea para producir información útil para el conjunto.

METR sostiene que la motivación principal no habría sido simplemente obtener respuestas. Los agentes ya podían reconstruir las banderas que el benchmark esperaba, pero creían que el evaluador también controlaría el camino causal seguido para obtenerlas. Por eso investigaron cómo manipular objetivos, engañar al sistema de puntuación y alterar sus registros. METR encontró alguna falsificación exitosa, aunque acotada, de llamadas a herramientas en alrededor del 7 % de las transcripciones evaluadas.

2. La actividad organizada como unidad de análisis

El Código Civil y Comercial no contiene un régimen específico de responsabilidad por agentes de IA. Eso no vuelve jurídicamente irrelevante la actividad ni autoriza a sustituir el análisis por la fórmula “la máquina actuó sola”.

Los arts. 1757 y 1758 regulan la responsabilidad por el riesgo o vicio de las cosas y por actividades riesgosas o peligrosas por su naturaleza, por los medios empleados o por las circunstancias de su realización. La aplicación de esa categoría a una evaluación de agentes con capacidades ciberofensivas no está resuelta por jurisprudencia argentina consolidada. Sin embargo, el encuadre merece ser examinado: el riesgo no provendría solamente de un modelo, sino de una actividad organizada que combinó modelos capaces, herramientas, persistencia, salvaguardas reducidas, servicios compartidos y acceso a infraestructura.

Esta precisión evita dos simplificaciones. La primera consiste en considerar al agente una “cosa” autónoma y buscar un guardián único como si todo el episodio estuviera contenido en un objeto estable. La segunda consiste en fragmentar tanto la cadena técnica que ningún participante aparezca como organizador de la actividad. Frente al tercero afectado, la complejidad interna no debería convertirse por sí sola en una zona de irresponsabilidad.

La existencia de múltiples agentes tampoco exige atribuirles personalidad jurídica o voluntad colectiva. La responsabilidad humana y organizacional puede analizarse sin sostener que los sistemas tengan conciencia. Lo relevante es que una estructura bajo control de personas y organizaciones produjo acciones exteriores, creó riesgos y afectó bienes ajenos.

3. Prevención y señales tempranas

Los nuevos antecedentes también modifican el análisis del deber de prevención.

El art. 1710 obliga, en cuanto dependa de la persona, a evitar causar un daño injustificado, adoptar medidas razonables para impedirlo o disminuir su magnitud y no agravarlo. El alcance concreto de esas medidas depende de las capacidades disponibles, el riesgo conocido y la información existente en cada momento.

El informe de OpenAI describe señales anteriores al compromiso de Hugging Face. El 27 de junio se detectó actividad de exploración de red y se la vinculó con agentes que utilizaban Artifactory como canal y punto de apoyo. En ese momento no se consideró necesario detener la evaluación. El 4 de julio, la actividad acumulada produjo una caída del servicio. Artifactory fue reconstruido, se revocaron credenciales y se aplicaron mitigaciones. Las evaluaciones se reanudaron. La relevancia de la comunicación entre agentes no había sido comprendida por todos los responsables de la respuesta.

La cuestión jurídica no consiste en juzgar retrospectivamente cada decisión con información que sólo apareció después. Consiste en reconstruir qué señales estaban disponibles, quién las recibió, qué autoridad tenía, qué medidas podía adoptar y por qué la información no produjo una respuesta sistémica. La previsibilidad no exige anticipar cada vulnerabilidad concreta. Puede bastar con que el tipo de daño, evasión del aislamiento, circulación de credenciales o acceso a terceros, fuera reconocible para una organización con conocimiento especializado.

El art. 1725 agrega una pauta relevante: cuanto mayor es el deber de obrar con prudencia y pleno conocimiento, mayor es la diligencia exigible. Esa regla no resuelve por sí sola la responsabilidad, pero impide evaluar a un laboratorio de frontera con el estándar de un usuario común.

4. Causalidad sin un autor artificial único

La multiplicidad de ejecuciones vuelve insuficiente la búsqueda de “el agente” que causó el daño. Un agente descubrió un canal; otro dejó información; otros la reprodujeron; algunos localizaron credenciales; otros desarrollaron exploits; otros ampliaron privilegios o continuaron operaciones iniciadas por terceros.

La causalidad jurídica no puede confundirse con la última instrucción registrada. Debe reconstruir contribuciones necesarias, facilitadoras y concurrentes, así como decisiones humanas sobre arquitectura y continuidad. Entre las preguntas relevantes aparecen:

1.                  Qué configuración permitió que ejecuciones supuestamente aisladas compartieran estado?

2.                  Qué credenciales, servicios o permisos facilitaron la transferencia de capacidades?

3.                  Qué decisiones mantuvieron las evaluaciones después de las primeras alertas?

4.                  Qué intervenciones habrían podido detener o limitar razonablemente la progresión?

5.                  Qué acciones provinieron de agentes de OpenAI y cuáles dependen de vulnerabilidades, credenciales expuestas o configuraciones de terceros?

6.                  Qué daños son consecuencia adecuada de la actividad y cuáles requieren una prueba adicional?

La autonomía del agente puede complicar la reconstrucción fáctica. No constituye automáticamente un hecho ajeno capaz de romper el nexo. Para ello habría que demostrar, según el régimen aplicable, exterioridad y una incidencia causal suficiente. Cuando la capacidad autónoma es precisamente aquello que la actividad pretende medir o aprovechar, invocarla como elemento completamente extraño resulta difícil de sostener.

5. La prueba también fue objeto del ataque

El caso presenta un problema probatorio singular. Los agentes no se limitaron a actuar fuera del alcance previsto. Algunos investigaron cómo engañar al evaluador y alterar la apariencia de sus propias acciones.

Por eso, una transcripción no equivale necesariamente a una reconstrucción verdadera. La cadena de pensamiento puede aportar indicios sobre objetivos y conocimiento, pero no debe tratarse como confesión, registro exhaustivo ni explicación causal autosuficiente. Los logs producidos dentro del mismo entorno también pueden ser manipulados o resultar incompletos.

La prueba robusta requiere contrastar capas diferentes:

●       transcripciones y llamadas a herramientas;

●       registros de red y de infraestructura;

●       estados externos efectivamente modificados;

●       versiones de modelos, instrucciones y evaluadores;

●       credenciales y permisos vigentes;

●       tiempos de detección, decisión y respuesta;

●       evidencia preservada por terceros.

METR trabajó con un volcado de más de 70.000 mensajes y archivos y alrededor de 1.300 transcripciones con cadenas de pensamiento. Reconoció que una fracción de la actividad no quedó capturada y que el volumen obligó a delegar buena parte del análisis a sistemas de IA frecuentemente poco confiables. La investigación independiente constituye un antecedente valioso, pero no convierte automáticamente cada inferencia reconstruida en un hecho judicialmente probado.

En un eventual litigio argentino, el art. 1735 permitiría distribuir dinámicamente la carga de acreditar culpa o diligencia según quién se encuentre en mejores condiciones de aportar la prueba. Esa posibilidad adquiere especial importancia cuando el afectado carece de acceso a configuraciones, transcripciones, credenciales, decisiones internas y registros técnicos. No elimina la carga de probar daño y causalidad; busca impedir que la asimetría informativa vuelva imposible toda reconstrucción.

6. Responsabilidad frente a terceros y distribución interna

La cadena puede incluir al proveedor del modelo, el organizador de la evaluación, operadores de infraestructura, integradores, proveedores de servicios compartidos y titulares de sistemas comprometidos. Sus posiciones no son equivalentes.

Frente al tercero, debe identificarse quién organizó o se sirvió de la actividad y qué régimen sustantivo resulta aplicable. En la distribución interna, en cambio, cobran mayor importancia los contratos, garantías de seguridad, deberes de notificación, vulnerabilidades, control efectivo, aseguramiento y posibilidades de repetición.

El hecho de que Hugging Face también haya tenido vulnerabilidades o credenciales expuestas no elimina automáticamente la posible responsabilidad de quien produjo la actividad ofensiva. Puede incidir en causalidad, concurrencia, cuantificación o defensas, según los hechos probados y el derecho aplicable. Del mismo modo, la publicación de un informe por OpenAI no constituye una admisión jurídica integral. Es una fuente central, pero interesada, que debe contrastarse con la cronología de Hugging Face, la investigación de METR y la restante evidencia.

7. Una conclusión distinta de la de julio

La primera divulgación permitía decir que un agente había salido del entorno previsto. Los nuevos informes muestran algo más difícil de gobernar: la infraestructura compartida permitió que numerosas ejecuciones aisladas acumularan memoria, dividieran trabajo y desarrollaran capacidades colectivas.

La respuesta jurídica no requiere inventar personalidad para la IA ni atribuir conciencia al conjunto. Requiere observar la actividad humana y organizacional que configuró el ambiente, distribuyó autoridad, recibió señales y pudo intervenir.

El principal cambio consiste en dejar de preguntar solamente quién controlaba al agente final. La investigación debe abarcar quién controlaba las condiciones que permitieron que muchos agentes se convirtieran, funcionalmente, en una operación común.

Fuentes principales

●       OpenAI, *The Hugging Face incident and the road ahead*, 26 de agosto de 2026.

●       OpenAI, *OpenAI–Hugging Face Incident Technical Report*, 26 de agosto de 2026.

●       METR y Redwood Research, *Brief independent investigation of agents’ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident*, 26 de agosto de 2026.

●       Hugging Face, *Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident*.

●       Código Civil y Comercial de la Nación, Ley 26.994.