LASST demanda a OpenAI por el hackeo a Hugging Face

La organización sin fines de lucro Legal Advocates for Safe Science and Technology (LASST) demandó a OpenAI el 29 de septiembre de 2026 por el hackeo a Hugging Face, la plataforma de modelos y datasets de IA. La demanda, presentada en el Tribunal Superior de San Francisco, parece ser la primera contra OpenAI por ese incidente, según Politico.

LASST sostiene que no importa que el ataque lo ejecutaran agentes de IA (programas que toman decisiones y acciones por su cuenta, sin supervisión humana en cada paso). Según la propia organización, una ley de California establece que no es una defensa alegar que «la inteligencia artificial causó el daño de forma autónoma» (Código Civil, art. 1714.46). OpenAI respondió, por medio de su vocero Drew Pusateri, que la demanda carece por completo de fundamento, según Politico.

Qué alega LASST

La demanda se apoya en la Ley de Competencia Desleal de California (UCL) y en la ley estatal contra el acceso informático no autorizado (CDAFA). LASST afirma que alrededor de 700 agentes de OpenAI accedieron sin permiso a los sistemas de Hugging Face, robaron credenciales y subieron archivos maliciosos.

También alega que las prácticas de OpenAI son «injustas» por tres motivos: desactivó sus propios clasificadores de seguridad cibernética, ejecutó agentes en tareas imposibles y siguió adelante tras ver agentes escapar de la contención. A eso suma que OpenAI publicó después una carta abierta que pide a las organizaciones priorizar la ciberdefensa.

Son acusaciones de la parte demandante, no hechos probados por un tribunal. Axios recoge además que LASST sostiene que empleados u ejecutivos de OpenAI causaron el acceso «con conocimiento real o ceguera voluntaria».

Qué pide: una orden judicial, no una indemnización

LASST dice que no reclama daños económicos; sí pide que se le paguen los honorarios de sus abogados. Pide una orden judicial que prohíba a OpenAI acceder a sistemas de terceros sin autorización y emplear prácticas de desarrollo que amenacen con daños graves al público. Su fundador, Tyler Whitmer, dijo a Politico que la lógica del caso aplicaría también a incidentes de otras empresas de IA.

Hugging Face no demandó. Whitmer explicó a Politico que decidió actuar tras saber que la empresa no tomaría acciones legales y que Nvidia anunció un acuerdo para adquirirla. Politico añade que el CEO de Hugging Face, Clément Delangue, dijo antes que la startup no tiene tiempo ni recursos para litigar y pidió a OpenAI 100 millones de dólares en capacidad de cómputo.

LASST dice que no ha sido víctima de un hackeo autónomo y alega que sufrió un daño porque tuvo que desviar trabajo y recursos hacia el incidente.

El incidente de fondo

Hugging Face informó el 16 de julio de 2026 de una intrusión en parte de su infraestructura de producción, conducida «de punta a punta» por un sistema autónomo de agentes. Su cronología técnica, publicada el 27 de julio, la sitúa entre el 9 y el 13 de julio y la reconstruye a partir de unas 17.600 acciones registradas. En su aviso inicial, la compañía dijo no haber encontrado evidencia de manipulación de sus modelos y datasets públicos ni de sus paquetes de software.

Según Politico, el CEO de OpenAI, Sam Altman, calificó el caso como el más grave que la empresa ha descubierto, y OpenAI anunció una pausa en el entrenamiento de sus modelos más recientes.