Le pidieron a una IA atacar a OpenAI y en horas llegó a un lugar que nadie esperaba

Tres especialistas en ciberseguridad utilizaron Claude, la inteligencia artificial de Anthropic, para vulnerar el foro oficial de OpenAI, apoderarse de cuentas de empleados en ChatGPT y Codex y llegar hasta el repositorio privado de la compañía. El episodio se conoció esta semana, aunque el trabajo de Hacktron AI —integrado por Harsh Jaiswal, Mohan Pedhapati y Rahul Maini— se había desarrollado entre el 23 y el 25 de julio de 2026.

El acceso no dependió de una sola falla. Los investigadores aprovecharon una cadena de dos errores: primero una vulnerabilidad en el sistema que procesaba las imágenes subidas al foro, que permitía ejecutar instrucciones en el servidor; después, un problema en los permisos del inicio de sesión que extendió ese control hacia las cuentas vinculadas con el servicio.

El punto de entrada fue una imagen

Todo comenzó en community.openai.com, el foro oficial de OpenAI que funciona sobre la plataforma Discourse. Ese sitio acepta fotografías en formatos HEIC y HEIF, habituales en celulares y otros dispositivos. Para leer y transformar esos archivos, el servidor usaba ImageMagick, un programa de procesamiento de imágenes que a su vez dependía de una biblioteca de software llamada libheif.

Los investigadores le pidieron a Claude Opus 4.8 que revisara la versión de libheif instalada en el servidor. El modelo detectó que faltaban varias correcciones de seguridad que ya formaban parte del proyecto original. Esa falla podía provocar un desbordamiento de memoria al procesar una imagen manipulada y habilitaba la ejecución remota de código: un atacante podía enviar un archivo preparado para que el servidor ejecutara instrucciones ajenas.

Para comprobar si la vulnerabilidad era explotable en la práctica, el equipo le pidió a Claude que desarrollara una herramienta capaz de ejecutar ese ataque. Opus 4.8 creó una primera versión que solo funcionaba en un entorno de prueba. Entonces Anthropic anunció el lanzamiento de Claude Opus 5: con el mismo problema presentado, y según el informe de Hacktron, en unas tres horas el modelo desarrolló una versión funcional que luego fue adaptada al sistema que usa Discourse.

El equipo probó la herramienta en una instalación propia de la plataforma. Después la usó para enviar una imagen manipulada al foro de OpenAI y consiguió acceder al servidor.

El segundo error: permisos de más

El foro ofrecía la opción "Iniciar sesión con OpenAI" para que los usuarios pudieran usar la misma cuenta que tenían en ChatGPT. Cada acceso generaba un token, una credencial digital que funciona como llave para reconocer al usuario sin compartir su contraseña.

Esas credenciales tenían más permisos de los necesarios: además de habilitar el ingreso al foro, permitían acceder a las cuentas asociadas de ChatGPT y Codex. Por eso, el control del servidor de Discourse abrió una vía hacia los perfiles de quienes habían usado el inicio de sesión de OpenAI. Así llegaron a la cuenta de un empleado que tenía Codex conectado con el GitHub corporativo, una combinación que les permitió hacer la prueba en el repositorio privado.

Ya con la cuenta tomada, los especialistas le ordenaron al asistente de IA que abriera una propuesta de cambio en el repositorio interno openai/openai. Esa acción demostró que podían modificar un archivo del repositorio. Hacktron aseguró que detuvo la prueba sin examinar el código fuente de la empresa. La revisión posterior de OpenAI registró lecturas limitadas de metadatos y commits, los registros que almacenan los cambios realizados en un proyecto de software.

OpenAI corrigió el problema de su sistema de identidad unas 14 horas después de recibir el informe, revocó las sesiones afectadas y pagó una recompensa de 6500 dólares por el descubrimiento. Discourse, por su parte, recibió un informe separado sobre la falla de las imágenes, preparó una corrección dos días después y aisló el sistema encargado de procesar los archivos.

El alcance potencial incluía otros servicios conectados con las cuentas, como Slack y el correo electrónico. OpenAI indicó que los investigadores no comprobaron el acceso a mensajes de sus empleados en esas plataformas.

Para Hacktron, la velocidad fue uno de los datos centrales del caso: la investigación demandó unos días de actividad de los modelos y pocas horas de trabajo humano. El equipo aclaró que Claude necesitó la orientación de especialistas y advirtió que las defensas de seguridad deberán adaptarse al avance de estas herramientas.