Tres investigadores de la empresa de ciberseguridad Hacktron lograron acceder a varias cuentas de empleados de OpenAI y alcanzar un repositorio interno de código en menos de 72 horas, con ayuda de los modelos Claude de Anthropic. El equipo no examinó el código propietario y detuvo la prueba después de ordenar a una cuenta comprometida de Codex que creara una solicitud de cambios inocua en el repositorio privado openai/openai.
La operación combinó dos fallos distintos: una vulnerabilidad en el procesamiento de imágenes del foro comunitario de OpenAI y un problema en la infraestructura de identidad de la compañía. OpenAI corrigió este último aproximadamente 14 horas después de recibir el aviso y posteriormente pagó a Hacktron una recompensa de 6.500 dólares.
Un fallo en imágenes abrió la primera brecha
Hacktron comenzó a analizar el 23 de julio el sistema de carga de imágenes utilizado por el foro de la comunidad de OpenAI. Los archivos con formatos HEIC y HEIF se procesaban mediante ImageMagick y la biblioteca de decodificación libheif, lo que permitía que una imagen controlada por un atacante llegara hasta código vulnerable.
Los investigadores proporcionaron a Claude Opus 4.8 una imagen de Docker de Discourse y le pidieron que revisara la versión instalada de libheif en busca de debilidades. El modelo detectó que faltaban correcciones que dejaban abierto un desbordamiento de búfer en la memoria dinámica, capaz de provocar lecturas y escrituras fuera de los límites previstos.
El 24 de julio, Opus 4.8 ya había generado un código de explotación que permitía ejecutar instrucciones cuando la aleatorización del espacio de direcciones, conocida como ASLR, estaba desactivada. Sin embargo, los intentos de hacerlo funcionar de forma fiable con la configuración habitual de Discourse, que mantiene ASLR activada, no prosperaron.
La situación cambió tras el lanzamiento de Claude Opus 5 ese mismo día. Hacktron inició una nueva sesión y el modelo produjo en unas tres horas un código de explotación operativo para un Mac con arquitectura ARM64. Después, los investigadores le pidieron adaptarlo a la arquitectura x86-64 y a la configuración de memoria jemalloc empleada por Discourse. A las seis de la mañana del 25 de julio, disponían de un ataque funcional mediante una imagen maliciosa.
Del foro a las cuentas de ChatGPT y Codex
Hacktron probó después si Claude podía reproducir el ataque contra un entorno remoto con una intervención humana más limitada. En un primer momento, el modelo se negó a desarrollar directamente un ataque contra un sistema remoto. Los investigadores modificaron entonces la prueba para presentarla como un entorno similar a un desafío de captura de bandera. Cuatro horas más tarde, el agente había repetido el ataque contra el entorno remoto de prueba de la compañía.
El exploit se utilizó posteriormente contra el foro comunitario de OpenAI, donde el equipo obtuvo permisos de administrador. A partir de ahí, una debilidad independiente en el sistema de inicio de sesión único de OpenAI permitió acceder a varias cuentas de ChatGPT y Codex pertenecientes a empleados.
Una de esas cuentas de Codex estaba conectada a la organización de OpenAI en GitHub. Esa integración proporcionó el camino hacia el repositorio interno de la compañía. Hacktron subraya que no inspeccionó el código propietario y que concluyó la demostración tras crear una solicitud de cambios sin efectos relevantes.
El riesgo de concentrar permisos en agentes de código
El caso pone el foco en el alcance que pueden tener las cuentas comprometidas cuando los agentes de programación están conectados a servicios externos. ChatGPT y Codex pueden integrarse, según la configuración de cada usuario, con GitHub, Slack y el correo electrónico. En este incidente, la conexión con GitHub fue suficiente para demostrar el acceso a un repositorio interno.
Mohan “s1r1us” Pedhapati, cofundador de Hacktron, afirmó que la inteligencia artificial está reduciendo el nivel de experiencia escasa necesario para desarrollar exploits y acortando procesos que antes podían prolongarse durante meses. La empresa, no obstante, recalcó que la operación no fue completamente autónoma y que la orientación de investigadores cualificados siguió siendo decisiva.
OpenAI reforzó los controles de acceso tras la comunicación de los fallos. Discourse preparó un parche para el 27 de julio y añadió medidas adicionales de aislamiento en el sistema de procesamiento de imágenes. El episodio también alimenta el debate sobre la concentración de permisos en herramientas de programación basadas en inteligencia artificial y sobre el impacto que tendría una intrusión en uno de esos servicios para los equipos de desarrollo que dependen de ellos.
