Tres investigadores de la empresa de ciberseguridad Hacktron utilizaron Claude, el asistente de inteligencia artificial de Anthropic, para encadenar dos vulnerabilidades y acceder a varias cuentas de empleados de OpenAI en menos de 72 horas. El recorrido les permitió llegar a un repositorio interno de código conectado a una cuenta de Codex, aunque el equipo asegura que no examinó código propietario.
De una vulnerabilidad en imágenes al entorno interno de OpenAI
La investigación comenzó el 23 de julio sobre el sistema de carga de imágenes del foro comunitario de OpenAI, basado en Discourse. Los archivos HEIC y HEIF se procesaban mediante ImageMagick y la biblioteca de decodificación libheif, lo que ofrecía una vía para introducir imágenes manipuladas en código vulnerable.
Hacktron proporcionó a Claude Opus 4.8 una imagen de Docker de Discourse y le pidió que revisara el paquete libheif instalado. El modelo detectó que faltaban correcciones de seguridad y localizó un desbordamiento de búfer en la memoria dinámica, una vulnerabilidad que permitía leer y escribir fuera de los límites previstos.
El 24 de julio, Opus 4.8 ya había generado un código de explotación capaz de ejecutar instrucciones cuando la aleatorización del espacio de direcciones —ASLR, por sus siglas en inglés— estaba desactivada. Sin embargo, los intentos de hacerlo funcionar de forma fiable en la configuración normal de Discourse, con ASLR activado, no prosperaron.
La situación cambió tras el lanzamiento de Claude Opus 5 ese mismo día. Hacktron abrió una nueva sesión y el modelo produjo en unas tres horas un código de explotación funcional para un Mac con arquitectura ARM64. Después, los investigadores le pidieron que lo adaptara a la arquitectura x86-64 y a la configuración de memoria jemalloc empleada por Discourse. A las seis de la mañana del 25 de julio, contaban con un ataque operativo mediante una imagen maliciosa.
El equipo comprobó después si el agente podía reproducir el ataque contra un entorno remoto con menos intervención humana. Claude se negó inicialmente a desarrollar el exploit directamente contra un sistema remoto, según Hacktron, por lo que los investigadores presentaron el entorno como un desafío de seguridad similar a una competición de captura de bandera. Cuatro horas más tarde, el agente había repetido el ataque contra esa infraestructura de prueba.
El acceso a GitHub amplió el alcance de la intrusión
Los investigadores utilizaron entonces el exploit contra el foro comunitario de OpenAI y obtuvieron privilegios de administrador. A partir de ahí, una segunda debilidad en el sistema de inicio de sesión único de OpenAI les permitió desplazarse hacia cuentas de ChatGPT y Codex pertenecientes a varios empleados.
Una de esas cuentas de Codex estaba vinculada a la organización de OpenAI en GitHub. Esa conexión abrió el camino hacia el repositorio privado openai/openai, un monorepo interno de la compañía. Hacktron detuvo la prueba después de ordenar a la cuenta comprometida que creara una solicitud de cambios inocua dentro del repositorio. La empresa afirma que no llegó a inspeccionar el código fuente propietario.
OpenAI corrigió, según la información disponible, el fallo relacionado con su sistema de identidad unas 14 horas después de recibir el aviso. Más tarde pagó a Hacktron una recompensa de 6.500 dólares. Tras la divulgación de las vulnerabilidades, OpenAI endureció los controles de acceso. Discourse, por su parte, preparó un parche para el 27 de julio y añadió más medidas de aislamiento en el sistema de procesamiento de imágenes.
Los agentes de código concentran permisos sensibles
El caso ilustra un riesgo que va más allá del fallo inicial. Herramientas como ChatGPT y Codex pueden conectarse a servicios externos, de modo que una cuenta comprometida puede ofrecer acceso a las integraciones autorizadas por su usuario. Hacktron citó GitHub, Slack y el correo electrónico como posibles objetivos, dependiendo de la configuración. En este episodio, fue precisamente la conexión con GitHub la que amplió la intrusión.
Mohan “s1r1us” Pedhapati, cofundador de Hacktron, sostuvo que la inteligencia artificial está reduciendo el nivel de conocimientos especializados necesario para desarrollar exploits. A su juicio, trabajos que antes podían requerir meses ahora pueden completarse en días. La empresa, no obstante, subrayó que el ataque no fue completamente autónomo y que la orientación de investigadores con experiencia siguió siendo esencial.
Robert Reith, fundador de la firma de seguridad blockchain Accretion, señaló que los profesionales todavía aportan buena parte del criterio necesario para convertir el trabajo generado por un modelo en un ataque exitoso, aunque advirtió de que esa diferencia podría reducirse a medida que los sistemas incorporen más conocimiento e intuición. El episodio también alimenta la preocupación por la concentración de permisos en agentes de programación y por la dependencia de un número reducido de proveedores dentro de los equipos de desarrollo.
