Tres investigadores de la firma de ciberseguridad Hacktron accedieron en menos de 72 horas a varias cuentas de empleados de OpenAI y alcanzaron un repositorio interno de código con ayuda de los modelos Claude. La compañía asegura que no llegó a examinar el código fuente propietario y que detuvo la prueba después de crear una solicitud de cambios inofensiva en el repositorio privado de OpenAI.
El ataque combinó una vulnerabilidad en el procesamiento de imágenes del foro comunitario de OpenAI con un fallo independiente en la infraestructura de identidad de la empresa. OpenAI corrigió este último problema aproximadamente 14 horas después de recibir el aviso y posteriormente pagó a Hacktron una recompensa de 6.500 dólares.
De una imagen manipulada al acceso administrativo
Hacktron comenzó a analizar el 23 de julio el sistema de carga de imágenes utilizado por el foro de OpenAI. Los archivos HEIC y HEIF se procesaban mediante ImageMagick y la biblioteca de decodificación libheif, lo que permitía que una imagen controlada por un atacante llegara hasta código vulnerable.
Los investigadores proporcionaron a Claude Opus 4.8 una imagen de Docker de Discourse y le pidieron que revisara el paquete libheif instalado en busca de fallos de seguridad. El modelo detectó que faltaban correcciones que dejaban abierto un desbordamiento de búfer en la memoria dinámica, una vulnerabilidad capaz de provocar lecturas y escrituras fuera de los límites previstos.
El 24 de julio, Claude había generado un código de explotación capaz de ejecutar instrucciones cuando la aleatorización del espacio de direcciones —ASLR, por sus siglas en inglés— estaba desactivada. Sin embargo, los intentos de hacerlo funcionar de forma fiable con la configuración normal de Discourse, que mantiene ASLR activada, no prosperaron.
La situación cambió después del lanzamiento de Claude Opus 5, también el 24 de julio. En una nueva sesión, el modelo produjo en unas tres horas un código de explotación operativo para un Mac con arquitectura ARM64. Después, Hacktron le pidió que lo adaptara a la arquitectura x86-64 y a la configuración de memoria jemalloc empleada por Discourse. A las seis de la mañana del 25 de julio, el equipo ya podía ejecutar código mediante la carga de una imagen maliciosa.
Los investigadores probaron entonces si el modelo podía reproducir el ataque contra un entorno remoto con una intervención humana más limitada. Claude se negó inicialmente a desarrollar un exploit directamente contra un sistema remoto, según Hacktron. La firma convirtió el entorno de prueba en una plataforma con apariencia de desafío de seguridad. Cuatro horas más tarde, el agente había repetido el ataque contra esa infraestructura.
El fallo de identidad amplió el alcance
Con el exploit, Hacktron obtuvo acceso administrativo al foro comunitario de OpenAI. A partir de ahí, una segunda debilidad en el sistema de inicio de sesión único de la compañía permitió saltar a cuentas de ChatGPT y Codex pertenecientes a varios empleados.
Una de esas cuentas de Codex estaba vinculada a la organización de OpenAI en GitHub. Esa conexión abrió el camino hacia el entorno interno de desarrollo y permitió demostrar el acceso al repositorio privado openai/openai. Hacktron afirma que no inspeccionó el código propietario y que terminó la operación tras ordenar a la cuenta comprometida que creara una solicitud de cambios sin consecuencias.
El caso también puso de relieve que los agentes de programación pueden ampliar el impacto de una cuenta comprometida. ChatGPT y Codex pueden conectarse con servicios externos autorizados por el usuario, como GitHub, Slack o el correo electrónico. El alcance depende de la configuración de cada cuenta, pero en este incidente fue precisamente la integración con GitHub la que conectó la cuenta de un empleado con un repositorio interno.
Más velocidad, pero todavía con supervisión humana
Para Mohan “s1r1us” Pedhapati, cofundador de Hacktron, el episodio muestra que la inteligencia artificial está reduciendo el conocimiento especializado necesario para desarrollar exploits. La empresa sostiene, no obstante, que no se trató de un ataque completamente autónomo: la experiencia de los investigadores siguió siendo decisiva para orientar el proceso, validar los resultados y encadenar las vulnerabilidades.
Robert Reith, fundador de la firma de seguridad blockchain Accretion, coincidió en que los expertos humanos todavía aportan buena parte del criterio necesario para transformar el trabajo generado por un modelo en un ataque efectivo. Aun así, advirtió de que esa diferencia podría reducirse a medida que los sistemas incorporen más conocimiento e intuición técnica.
Tras la divulgación, OpenAI restringió el acceso. Discourse preparó un parche el 27 de julio y añadió medidas adicionales de aislamiento para el sistema de procesamiento de imágenes. El incidente deja así dos frentes abiertos para las empresas: la rapidez con la que los modelos pueden acelerar la investigación ofensiva y el riesgo de concentrar demasiados permisos corporativos en agentes de programación conectados a servicios internos.
