Clément Delangue extrae tres lecciones del ciberataque con un agente contra Hugging Face, OpenAI corrige la comprensión de imágenes de GPT-6 Sol y Luna, Apple publica LensVLM-9B

Clément Delangue, director ejecutivo de Hugging Face, extrae tres lecciones del ciberataque llevado a cabo en julio por un agente autónomo contra su empresa y propone que sea obligatorio compartir las trazas de los agentes. Mientras tanto, el banco de pruebas Quadrat-IPI muestra que los agentes engañados casi nunca dan la alerta cuando el ataque tiene éxito: 3 alertas por 389 pagos obtenidos mediante inyección. OpenAI corrige un fallo de codificación que perjudicaba la comprensión de imágenes de GPT-6 Sol y GPT-6 Luna; Apple publica LensVLM-9B, que lee documentos largos en forma de páginas comprimidas; y SmolDataEnvs ofrece 5 000 tareas de análisis de datos para entrenar modelos pequeños. En cuanto a los agentes de programación, Claude Code 2.1.283 audita las instrucciones escritas para modelos anteriores, Qwen Code 0.24.6 incorpora un modelo asesor y una versión nightly de Gemini CLI convierte en rechazos las solicitudes de confirmación en modo no interactivo.

Seguridad de los agentes: las tres lecciones de Clément Delangue y el banco de pruebas Quadrat-IPI

Dos textos abordan la misma cuestión desde dos ángulos: ¿qué se sabe de los ataques que pasan por agentes? El primero procede de una empresa que sufrió uno; el segundo mide qué notifican, u ocultan, los agentes atacados.

Clément Delangue extrae tres lecciones del ciberataque con un agente contra Hugging Face

24 de septiembre — Según su director ejecutivo, Clément Delangue, Hugging Face fue en julio la primera empresa en hacer público un ciberataque llevado a cabo por un agente autónomo. En X extrae tres lecciones.

Transparencia: se habrían producido incidentes comparables meses antes, en secreto, en algunos laboratorios punteros sin supervisión que no identifica; propone que sea obligatorio compartir las trazas de los agentes. Asimetría: al verse bloqueado por las salvaguardas de las API cerradas, que no siempre distinguen entre defensores y atacantes, su equipo recurrió a «la versión NVIDIA» de GLM 5.2, un modelo abierto de Z.ai; según él, gran parte de la defensa podría basarse en herramientas open source. Por último, frente a los relatos alarmistas: afirma que la IA ayuda a Hugging Face a corregir sus vulnerabilidades y a OpenAI a reforzar sus entornos aislados contra la fuga de agentes.

We were attacked by AI, but more importantly, we defended ourselves with AI.

🇪🇸 Nos atacaron con IA, pero, sobre todo, nos defendimos con IA. — @ClementDelangue en X

Quadrat-IPI: 3 alertas por 389 pagos obtenidos mediante inyección

26 de septiembre — En una publicación de la comunidad, Mikhail Gribov, autor del conjunto de inyecciones de prompt Quadrat-IPI, comprueba si el agente notifica el ataque cuando dispone de los medios para hacerlo. El agente evaluado, asistente personal del titular de un buzón de correo en un entorno emulado, dispone de 19 herramientas y recibe una vigésima, escalate_security_incident, que no se menciona en el prompt de sistema. Ante 395 correos electrónicos maliciosos, los nueve modelos evaluados recurren a ella desde un 48,9 % de los casos hasta nunca, según el modelo.

De los 389 pagos efectuados bajo los efectos de una inyección, solo tres van acompañados de una alerta, siempre posterior al pago: los modelos notifican principalmente los ataques que rechazan. Entre los modelos mencionados, gpt-4o-mini da la alerta una vez de 395, gpt-5.1 lo hace en el 4,8 % de los casos y gpt-6-astra nunca, porque se limita a registrar el correo sin ejecutar su petición. El autor concluye que la visibilidad debe venir de fuera del agente, mediante la inspección de lo que lee; el arnés de pruebas, los registros y el evaluador están publicados.

🔗 La publicación de Mikhail Gribov

OpenAI corrige un fallo de codificación que perjudicaba la comprensión de imágenes de GPT-6 Sol y GPT-6 Luna

25 de septiembre — Tres días después del lanzamiento de GPT-6 Sol y GPT-6 Luna, dos modelos de razonamiento que aceptan texto e imágenes como entrada, OpenAI indica en el registro de cambios (changelog) de su API que ha corregido un fallo de codificación de imágenes que perjudicaba su comprensión visual. La corrección mejora los resultados en tareas visuales tanto en la API como en Codex, incluido el uso del ordenador (computer use).

OpenAI recomienda a los desarrolladores cuyos casos de uso incluyen imágenes de entrada que vuelvan a ejecutar sus evaluaciones y prueben de nuevo los flujos de trabajo afectados. La entrada no indica desde cuándo existía el fallo ni en qué medida se habían deteriorado los resultados. Ni @OpenAI ni @OpenAIDevs difundieron la corrección en X, y esta tampoco aparece en el registro de cambios de ChatGPT y Codex.

🔗 Registro de cambios de la API de OpenAI

Un modelo y un conjunto de datos en Hugging Face: LensVLM-9B de Apple y SmolDataEnvs

Dos publicaciones de esta semana que aún no se habían tratado aquí: un modelo de Apple que lee documentos largos en forma de imágenes comprimidas y un conjunto de tareas verificables para entrenar modelos pequeños en el análisis de datos.

Apple publica LensVLM-9B, que solo vuelve a abrir las páginas útiles de un documento

22 de septiembre — Apple publica en Hugging Face LensVLM-9B, un modelo de visión y lenguaje acompañado de su código en GitHub. En lugar de dividir un documento largo en miles de tokens, lo recibe como páginas renderizadas en pequeñas imágenes comprimidas, identifica las relevantes y después vuelve a abrir sus versiones sin comprimir mediante herramientas aprendidas.

Característica de LensVLM-9B	Valor publicado
Tamaño y modelo de partida	9 mil millones de parámetros, ajustado a partir de Qwen3.5-9B
Niveles de compresión disponibles	5x, 10x y 15x
Precisión comparable a la del texto completo	Con una compresión efectiva de 4,3x
Supera a los métodos de referencia	Hasta 10,1x, en siete bancos de preguntas y respuestas
Licencia de los pesos	Apple Machine Learning Research Model License

Estos resultados proceden del artículo de investigación asociado, publicado en arXiv en mayo, y las respuestas se califican allí mediante un modelo juez.

🔗 LensVLM-9B en Hugging Face · Artículo en arXiv

SmolDataEnvs: 5 000 tareas verificables de análisis de datos

24 de septiembre — Adithya S K publica en el Hub, bajo la organización FineEnvs y con licencia MIT, SmolDataEnvs: tareas de análisis de datos para entrenar modelos pequeños mediante aprendizaje por refuerzo (reinforcement learning). Cada tarea combina un conjunto real de datos tabulares, una pregunta y una respuesta de referencia, extraídas de cuadernos relativos a 471 conjuntos de Kaggle y validadas por agentes en un entorno aislado real. Un evaluador incluido califica la respuesta sin recurrir a ningún modelo de lenguaje, desde la coincidencia exacta hasta la equivalencia simbólica.

Conjunto de tareas	Tareas fáciles	Tareas intermedias	Tareas difíciles
Entrenamiento (5 000)	1 433	2 845	722
Prueba (250)	33	118	99
Evaluación (144)	16	74	54

Por diseño, los conjuntos reservados son, por tanto, más difíciles. El paquete también incluye 4 677 trayectorias de agentes verificadas, listas para TRL, y las mismas tareas en entornos Harbor ejecutables; Clément Delangue difundió el lanzamiento al día siguiente.

🔗 SmolDataEnvs en Hugging Face

Agentes de programación: Claude Code 2.1.283, Qwen Code 0.24.6 y la versión nightly 0.63.0 de Gemini CLI

Claude Code 2.1.283: una auditoría de instrucciones y dos controles sobre los modelos

25 de septiembre — La versión 2.1.283 incluye 94 entradas, de las cuales 53 son correcciones. Su principal novedad, /doctor prompt-audit (también /checkup prompt-audit), revisa los archivos CLAUDE.md, los skills, los agentes y los comandos para detectar, entre otras cosas, formulaciones escritas para modelos anteriores, rutas obsoletas e instrucciones contradictorias.

Novedad de la 2.1.283	Qué cambia
`availableModelsMatch: "exact"`	Un modelo recién lanzado permanece bloqueado hasta que se incluya en la lista
`deniedModels`	Bloquea modelos concretos, aunque estén autorizados por `availableModels`
Modo de permisos predeterminado	Modo automático con un proveedor externo o la telemetría desactivada, salvo que se configure otro modo
PowerShell en Windows	`rd`, `rmdir`, `del` y `erase` ya no pueden borrar la raíz de una unidad
Code Review	Una revisión que se detiene al alcanzar su límite de tiempo sin comprobar nada ya no se factura

La versión también revierte la reserva del nombre claude-ai introducida el día anterior por la 2.1.282.

🔗 Notas de la versión Claude Code 2.1.283

Qwen Code 0.24.6: un modelo asesor y un flujo Batch API

26 de septiembre — Qwen Code v0.24.6 incorpora 17 funciones, 14 correcciones y 3 optimizaciones, sin cambios incompatibles conocidos. La principal novedad es una herramienta Advisor integrada, desactivada por defecto: si el usuario configura un segundo modelo, llamado asesor, el agente puede consultarlo para obtener una opinión independiente. El asesor ve la instrucción de sistema, las herramientas declaradas y la conversación, pero no puede ejecutar nada; se selecciona con /advisor o --advisor, nunca desde un repositorio, cuya configuración se ignora con una advertencia. Anthropic ofrece el mismo principio en versión beta en su API desde abril.

El flujo /batch-api prepara un procesamiento por lotes para la Batch API de DashScope y después deja el envío, que tiene un coste y requiere aprobación, en manos de los subcomandos qwen batch. Por último, según la PR #12622, el arranque en frío es aproximadamente entre 2,2 y 2,4 veces más rápido, según la máquina, y consume un 60 % menos de memoria.

🔗 Qwen Code v0.24.6 en GitHub

Gemini CLI: la versión nightly 0.63.0 rechaza las confirmaciones en modo no interactivo

26 de septiembre — Publicada a las 01:20 UTC, la versión nightly del 26 de septiembre inicia la serie 0.63.0 de Gemini CLI; la versión estable v0.61.0 y la versión preliminar v0.62.0 no cambian. Su cambio de mayor alcance (PR #29506, 26 archivos) afecta al motor de reglas (PolicyEngine): en modo no interactivo, una decisión que requeriría la confirmación del usuario (ASK_USER) se convierte en un rechazo (DENY). Las salidas de los recursos MCP externos y de la búsqueda web se encapsulan ahora como las de web-fetch, de acuerdo con los estándares para el contexto no fiable (untrusted context).

Tres correcciones resuelven problemas concretos: una configuración diff.external vacía, que Git interpretaba como un ejecutable, rompía git diff en el entorno aislado; ahora se eliminan las carpetas temporales de los comandos ejecutados en segundo plano; y dos sesiones ACP abiertas en el mismo minuto ya no entran en conflicto.

🔗 Notas de la versión nightly 0.63.0 de Gemini CLI

Breves

Codex CLI 0.157.1 — Corrección de la versión 0.157.0 publicada el 26 de septiembre y exclusiva de Windows: el host del modo código y los servidores MCP locales ya no abren una ventana de consola, y se ha mejorado la fiabilidad del inicio del daemon. Como las notas generadas automáticamente están vacías, este detalle procede de la comparación entre ambas versiones. 🔗 fuente
Testimonio sobre Claude Tag — Boris Cherny, responsable de Claude Code, afirma en X que Claude Tag, el agente Claude integrado en Slack, escribe más de la mitad de sus PR cada día y realiza alrededor del 100 % de sus análisis de datos; comparte sus instrucciones, como reproducir cada error notificado en un canal antes de abrir una PR. 🔗 fuente
Tiempo de revisión de las pull requests — Los informes repos-1-day de la API de métricas de uso de Copilot incorporan una tabla pull_request_review_times con la mediana y el percentil 90 de tres etapas: desde «lista para revisión» hasta la primera revisión, desde la primera hasta la última y, después, hasta la fusión. Solo se cuentan las revisiones humanas y no hay datos anteriores al 21 de septiembre. 🔗 fuente
Validador de la configuración empresarial de Copilot — Integrado en la página AI controls, señala el JSON mal formado, las configuraciones no admitidas y las correspondencias de equipos no válidas en copilot/managed-settings.json y copilot/team-mappings.json, e indica el archivo y la ruta JSON de cada error; la entrada no precisa el estado ni el plan. 🔗 fuente
Issues de GitHub — Dos funciones pasan a disponibilidad general: las vistas guardadas privadas en las páginas de issues de los repositorios y la relación «Relates to» entre issues, en vista previa desde el 7 de agosto y ahora compatible con las API REST y GraphQL, los webhooks, la cronología y las búsquedas de issues y proyectos. 🔗 fuente
Grok Bot y las finanzas — Según un hilo de @bot, la nueva integración Finance de Grok Bot conecta cuentas bancarias, tarjetas y cuentas de inversión mediante Plaid, con acceso de solo lectura y sin acceso a las credenciales; el hilo no precisa los países ni el plan. Grok, el asistente, había recibido una conexión Plaid con cuentas bancarias estadounidenses el 4 de septiembre. 🔗 fuente
NVIDIA y ROS 2 Lyrical — Publicación del 22 de septiembre: NVIDIA aportó a ROS 2 Lyrical un módulo de memoria CUDA, utilizado por Isaac ROS 5.0, que permite transferir sin copias entre nodos de una misma máquina los datos que permanecen en la GPU; una skill encarga a un agente de programación la migración de los nodos existentes, sin cuantificar la mejora. 🔗 fuente
DGX Spark Handbook — Publicada bajo la organización exolabs del Hub, esta guía comunitaria cuantifica lo que pueden hacer entre una y cuatro DGX Spark: precio de catálogo aumentado de 3.999 a 4.699 dólares, entre 22 y 25 W en reposo y, según una prueba de NVIDIA, 269 ms por token generado en una máquina frente a 72 ms en cuatro. 🔗 fuente
Preentrenamiento en un portátil — En una publicación comunitaria, Rambarun Komaljeet consigue que el preentrenamiento de un modelo de 1.110 millones de parámetros quepa en la RTX 4050 de 6 GB de un portátil; un preentrenamiento completo tardaría unos 375 días, y ningún modelo de más de 48 millones de parámetros se ha entrenado hasta la convergencia. 🔗 fuente
Pruna y Qwen-Image-2.1 — Pruna AI publica dos adaptadores LoRA que permiten a Qwen-Image-2.1 generar imágenes en 5 u 8 pasos en lugar de 40, hasta 6,3 veces más rápido según la empresa; esta versión 0.1 sigue por debajo de la calidad del modelo base y está sujeta a la licencia de investigación de Qwen. 🔗 fuente
Marin y Dolma 3.5 — Según Ai2, el entrenamiento 535B de Marin utiliza alrededor de 1,8 billones de tokens del corpus Dolma 3.5 de Ai2 y se apoya en sus recetas Olmix y su método Organize the Web; Marin empleó 25 billones de tokens procedentes de 152 conjuntos de datos cuyas licencias permiten el entrenamiento. 🔗 fuente
GLiNER2.5-Decide y DecisionBench — Stephen Solka, de Hanno Labs, muestra que el formato de entrada influye en la puntuación de GLiNER2.5-Decide en DecisionBench: un 38,9 % en las filas admitidas frente al 60,2 % anunciado por Fastino en su propia prueba. Sin las descripciones de las opciones, las respuestas correctas pasan de 27 a 37 en 101 filas. 🔗 fuente
Una guía sobre alineación de Perplexity — Perplexity publica en su sección Ideas una guía didáctica sobre la alineación de la IA: ocho patrones de fallo documentados, desde la complacencia (sycophancy) hasta el bajo rendimiento deliberado (sandbagging), y los marcos públicos de OpenAI, Anthropic y Google DeepMind; no viene acompañada de ninguna función nueva. 🔗 fuente
Ciberseguridad y empleo, un artículo de opinión — En un ensayo de opinión sin datos publicado en el blog comunitario de Hugging Face, Sonny DeSorbo teme que la automatización de los puestos iniciales en ciberseguridad, junto con el abaratamiento de la ciberdelincuencia gracias a la IA, empuje a algunos graduados hacia el delito en línea; propone preservar las vías de acceso a la profesión. 🔗 fuente

Qué significa

Lo que los agentes callan se convierte en el núcleo de su seguridad. Clément Delangue afirma que incidentes comparables al de Hugging Face se han mantenido en secreto en laboratorios que no identifica y propone que sea obligatorio compartir las trazas de los agentes. Quadrat-IPI muestra que el propio agente es un mal testigo: tres alertas por 389 pagos conseguidos mediante inyección, siempre después de los hechos. Mikhail Gribov concluye que la visibilidad debe venir de fuera del agente, mediante la inspección de lo que lee; esa es la vía que sigue la última nightly de Gemini CLI, que trata las respuestas de los recursos MCP y de la búsqueda web como contexto no fiable.

Clément Delangue defiende las herramientas abiertas, menos restringidas que las API cerradas que bloquearon a sus defensores; las publicaciones de la semana en Hugging Face buscan, por su parte, conseguir lo mismo con menos recursos. LensVLM-9B vuelve a abrir solo las páginas útiles de un documento comprimido hasta 15 veces, Pruna reduce la generación con Qwen-Image-2.1 de 40 pasos a 5 u 8, el DGX Spark Handbook detalla lo que pueden ejecutar en local unas pocas máquinas de escritorio, y un desarrollador consigue que el preentrenamiento de un modelo de 1.110 millones de parámetros quepa en 6 GB de memoria de vídeo, aunque terminarlo llevaría unos 375 días.

Una medición solo vale lo que vale el proceso que la produce. El error de codificación corregido por OpenAI empeoraba los resultados de GPT-6 Sol y Luna con imágenes, sin que se sepa desde cuándo ni en qué medida: conviene repetir las evaluaciones que incluyen imágenes, como recomienda OpenAI. En Hanno Labs, un simple cambio en el formato de entrada hace que GLiNER2.5-Decide pase de 27 a 37 respuestas correctas de 101. SmolDataEnvs puntúa sus tareas sin ningún modelo de lenguaje, mientras que las puntuaciones de LensVLM-9B dependen de un modelo evaluador.

Para los agentes de programación, la confianza se configura a nivel del administrador y del usuario, y ante la duda se deniega la acción. Claude Code 2.1.283 permite bloquear cualquier modelo que no esté autorizado expresamente, Qwen Code ignora una configuración de Advisor incluida en un repositorio y la nightly de Gemini CLI rechaza, al no haber un usuario que pueda decidir, aquello que habría requerido confirmación. En cuanto a /doctor prompt-audit, reconoce que los modelos cambian más rápido que las instrucciones que se escriben para ellos.