Investigadores vulneraron una cuenta de OpenAI con la ayuda de Claude, la IA de Anthropic

Un equipo de tres investigadores de la firma de ciberseguridad Hacktron AI llevó adelante una investigación de seguridad con divulgación responsable en la que encontró y explotó una cadena de vulnerabilidades en el foro de soporte de OpenAI, usando como herramienta principal a Claude, el modelo de inteligencia artificial de Anthropic. Hacktron relató el hallazgo en su propio blog técnico y el Wall Street Journal lo confirmó de forma independiente. El resultado concreto fue el acceso a la cuenta de ChatGPT y Codex de un empleado de OpenAI y a la integración de GitHub conectada a esa cuenta, con la que los investigadores instruyeron a Codex para crear un pull request de demostración —un cambio inocuo— en el repositorio interno de la compañía, sin inspeccionar código sensible.

El punto de entrada estaba en el foro de ayuda de OpenAI, montado sobre el software Discourse: al no poder procesar archivos HEIC con la librería FastImage, el sistema recurría a ImageMagick, que a su vez dependía de una versión desactualizada de libheif con un desbordamiento de búfer en el heap sin parchear. Esa falla, por sí sola, no alcanzaba para acceder a una cuenta real: los investigadores la combinaron con una vulnerabilidad separada en el sistema de inicio de sesión único (SSO) de OpenAI para completar la cadena de ataque.

Según el relato de Hacktron, el 23 de julio el equipo revisó el sistema de carga de imágenes de Discourse y detectó el parche de seguridad faltante en libheif; al día siguiente, con Claude Opus 4.8, desarrolló un primer exploit funcional para Mac. Esa misma tarde del 24 de julio, Anthropic lanzó Opus 5, y el nuevo modelo operó de forma autónoma para portar ese exploit al entorno real de Discourse Cloud —con su configuración de memoria específica— en aproximadamente tres horas. La cadena completa quedó operativa la madrugada del 25 de julio, cuando los investigadores lograron ejecución remota de código en una instancia de Discourse Cloud y, en las horas siguientes, escalaron ese acceso hasta la cuenta real de un empleado de OpenAI y su integración con GitHub.

El hallazgo se reportó a través de la plataforma Bugcrowd esa misma mañana del 25 de julio, y OpenAI confirmó la corrección del error en menos de 24 horas. La compañía pagó una recompensa de USD 6.500 el 1° de septiembre, con el caso ya cerrado, antes de que el episodio se conociera públicamente esta semana.

"Hasta hace dos meses, cualquier usuario o empleado que iniciara sesión en el foro de ayuda de OpenAI podría haber tenido sus cuentas de ChatGPT y Codex tomadas", escribió Hacktron al relatar el hallazgo, parte de una investigación más amplia de dos meses sobre fallas en librerías de procesamiento de imágenes que, según la firma, insumió menos de USD 3.000 en consumo de tokens de IA en total. OpenAI agradeció públicamente a los investigadores "por ponerse en contacto y compartir sus hallazgos", aunque, según reportó VentureBeat, la compañía no publicó hasta ahora un relato propio y detallado del incidente. Anthropic, por su parte, no realizó declaraciones sobre el episodio.

El caso se conoce en medio de un debate cada vez más intenso sobre los riesgos y capacidades de los agentes de IA autónomos, justo cuando Anthropic, OpenAI y otros laboratorios discuten públicamente sobre el ritmo del desarrollo de la tecnología (ver notas relacionadas). Más allá de la falla puntual, ya corregida, el episodio funciona como evidencia concreta de cómo estos modelos reducen el costo y el tiempo necesarios para encontrar y explotar vulnerabilidades reales en infraestructura de producción, incluso la de las propias compañías que los desarrollan.