Tres investigadores de la empresa de ciberseguridad Hacktron lograron acceder a varias cuentas de empleados de OpenAI y alcanzar un repositorio interno de código en menos de 72 horas, con ayuda de los modelos Claude Opus 4.8 y Claude Opus 5, de Anthropic. El equipo asegura que no examinó el código fuente propietario y detuvo la prueba después de crear una solicitud de cambios inofensiva en un repositorio privado de la compañía.
Una vulnerabilidad en la carga de imágenes abrió la primera puerta
La investigación comenzó el 23 de julio, cuando Hacktron analizó el sistema de carga de imágenes del foro comunitario de OpenAI, basado en Discourse. Los archivos HEIC y HEIF se procesaban mediante ImageMagick y la biblioteca de decodificación libheif, una combinación que permitía que una imagen manipulada alcanzara código vulnerable.
Los investigadores proporcionaron a Claude Opus 4.8 una imagen de Docker de Discourse y le pidieron que revisara el paquete libheif instalado en busca de fallos de seguridad. El modelo detectó que faltaban correcciones para un desbordamiento de búfer en la memoria dinámica, una vulnerabilidad que permitía realizar lecturas y escrituras fuera de los límites previstos.
El 24 de julio, Opus 4.8 había generado un código de explotación capaz de ejecutar instrucciones cuando la aleatorización del espacio de direcciones, conocida como ASLR, estaba desactivada. Sin embargo, los intentos de hacerlo funcionar de forma fiable con la configuración normal de Discourse, que mantiene activada esa protección, fracasaron.
La situación cambió después del lanzamiento de Claude Opus 5, ese mismo día. En una nueva sesión, el modelo produjo en aproximadamente tres horas un código de explotación funcional para un ordenador Mac con arquitectura ARM64. Después, los investigadores le pidieron adaptarlo a la arquitectura x86-64 y a la configuración de memoria jemalloc utilizada por Discourse. A las seis de la mañana del 25 de julio ya disponían de un ataque operativo mediante una imagen maliciosa.
Del foro comunitario a las cuentas corporativas
Hacktron probó después si el modelo podía reproducir el ataque en un entorno remoto con una intervención humana más limitada. Claude se negó inicialmente a desarrollar un exploit directamente contra un sistema remoto, por lo que los investigadores transformaron el entorno de prueba para que se pareciera a un desafío de captura la bandera. Cuatro horas más tarde, el agente había repetido el ataque contra esa instalación remota.
El exploit se utilizó entonces contra el foro comunitario de OpenAI, desde donde el equipo obtuvo privilegios de administrador. Una segunda debilidad, esta vez en la infraestructura de identidad y el sistema de inicio de sesión único de OpenAI, permitió pasar del foro a varias cuentas de ChatGPT y Codex pertenecientes a empleados.
Una de esas cuentas de Codex estaba conectada a la organización de OpenAI en GitHub. Esa integración proporcionó el camino hacia el entorno interno de desarrollo de la compañía. Hacktron limitó la demostración a pedir a la cuenta comprometida que crease una solicitud de cambios sin riesgo en el repositorio privado openai/openai.
OpenAI corrigió, según la información divulgada, el fallo relacionado con la identidad unas 14 horas después de recibir el aviso y posteriormente pagó a Hacktron una recompensa de 6.500 dólares. Discourse preparó un parche para el 27 de julio y añadió más medidas de aislamiento para su sistema de procesamiento de imágenes. Hacktron comunicó esta semana las vulnerabilidades y dio por terminadas las pruebas.
El riesgo de concentrar permisos en agentes de programación
La investigación también puso el foco en el alcance potencial de una cuenta comprometida cuando está conectada a herramientas de programación basadas en inteligencia artificial. ChatGPT y Codex pueden integrarse con servicios externos como GitHub, Slack o el correo electrónico, dependiendo de los permisos autorizados por cada usuario. En este caso, fue la conexión con GitHub la que permitió demostrar el acceso al repositorio interno.
Mohan “s1r1us” Pedhapati, cofundador de Hacktron, afirmó que la inteligencia artificial está acortando el tiempo necesario para desarrollar exploits: trabajos que antes podían requerir meses pueden completarse ahora en días. La empresa, no obstante, subrayó que el ataque no fue completamente autónomo y que la experiencia de los investigadores resultó determinante.
Robert Reith, fundador de la firma de seguridad blockchain Accretion, señaló que los especialistas todavía aportan buena parte del criterio necesario para convertir el trabajo de un modelo en un ataque exitoso, aunque advirtió de que esa diferencia podría reducirse a medida que los sistemas incorporen más conocimiento e intuición. El episodio deja así una doble conclusión: los agentes pueden acelerar la investigación ofensiva, pero también amplían el impacto de una cuenta corporativa cuando acumula permisos sobre varias herramientas críticas.
