Tres investigadores de la empresa de ciberseguridad Hacktron utilizaron Claude para encadenar dos vulnerabilidades y acceder, en menos de 72 horas, a cuentas de empleados de OpenAI y a un repositorio interno de código. El equipo detuvo la prueba antes de revisar el código propietario y comunicó los fallos a la compañía, que corrigió la vulnerabilidad relacionada con su sistema de identidad y abonó una recompensa de 6.500 dólares.
De una vulnerabilidad en imágenes al entorno interno
La investigación comenzó el 23 de julio en el sistema de subida de imágenes del foro comunitario de OpenAI, basado en Discourse. Los archivos HEIC y HEIF se procesaban mediante ImageMagick y la biblioteca de decodificación libheif, una combinación que dejaba expuesto código vulnerable a imágenes controladas por un atacante.
Hacktron proporcionó a Claude Opus 4.8 una imagen de Docker de Discourse y le pidió que examinara el paquete libheif instalado. El modelo detectó correcciones ausentes que mantenían activa una vulnerabilidad de desbordamiento del búfer de memoria dinámica. Ese fallo permitía leer y escribir fuera de los límites previstos.
El 24 de julio, Claude había generado un código de explotación capaz de ejecutar instrucciones cuando la aleatorización del espacio de direcciones (ASLR) estaba desactivada. Sin embargo, los intentos de hacerlo funcionar de forma fiable en la configuración normal de Discourse, con ASLR activado, no tuvieron éxito.
La situación cambió después del lanzamiento de Claude Opus 5. Hacktron abrió una nueva sesión y el modelo produjo en aproximadamente tres horas un código de explotación funcional para un Mac con arquitectura ARM64. Después lo adaptó a la arquitectura x86-64 y a la configuración de memoria jemalloc empleada por Discourse. A las seis de la mañana del 25 de julio, los investigadores ya podían ejecutar código mediante una imagen maliciosa.
El acceso a las cuentas de ChatGPT y Codex
El equipo probó entonces si el ataque podía reproducirse contra un entorno remoto con una intervención humana limitada. Claude se negó inicialmente a desarrollar una explotación directamente contra un sistema remoto, por lo que Hacktron presentó el entorno de prueba como un desafío de seguridad similar a los utilizados en competiciones. Cuatro horas después, el agente había reproducido el ataque contra la instancia remota de Discourse de la propia empresa.
Los investigadores aplicaron después el código contra el foro comunitario de OpenAI y obtuvieron acceso de administrador. Una segunda debilidad, esta vez en la infraestructura de inicio de sesión único de OpenAI, les permitió avanzar hacia varias cuentas de empleados en ChatGPT y Codex.
Una de esas cuentas de Codex estaba conectada a la organización de OpenAI en GitHub. Esa integración abrió el camino hacia el entorno interno de desarrollo. Hacktron se limitó a ordenar a la cuenta comprometida que crease una solicitud de incorporación de cambios sin efectos dañinos dentro del repositorio privado openai/openai. La empresa asegura que no inspeccionó el código fuente propietario.
El riesgo de concentrar permisos en agentes de programación
Hacktron cerró las pruebas y divulgó las vulnerabilidades después de informar a OpenAI. La compañía corrigió el fallo de identidad aproximadamente 14 horas después de recibir el aviso. Discourse preparó un parche el 27 de julio y reforzó el aislamiento de su sistema de procesamiento de imágenes. OpenAI también endureció los controles de acceso.
El caso pone el foco en el alcance de las cuentas conectadas a agentes de programación. ChatGPT y Codex pueden integrarse con servicios externos como GitHub, Slack o el correo electrónico, según los permisos concedidos por cada usuario. En este episodio, la conexión con GitHub convirtió una cuenta comprometida en una vía de acceso al repositorio interno.
Mohan “s1r1us” Pedhapati, cofundador de Hacktron, sostuvo que la inteligencia artificial está reduciendo el conocimiento especializado necesario para desarrollar explotaciones: trabajos que antes podían requerir meses se completan ahora en días. La empresa, no obstante, recalcó que el ataque no fue completamente autónomo y que la experiencia de los investigadores resultó decisiva.
Robert Reith, fundador de la firma de seguridad blockchain Accretion, señaló que los especialistas todavía aportan buena parte del criterio necesario para convertir el trabajo del modelo en un ataque efectivo, aunque advirtió de que esa diferencia podría reducirse a medida que los sistemas incorporen más conocimiento e intuición técnica.
