Investigadores ganan $6.500 por la brecha de OpenAI usando Claude de Anthropic
Foto de Solen Feyissa en Unsplash.
- La firma de ciberseguridad Hacktron AI utilizó Claude Opus 5 de Anthropic para encadenar un error en libheif con una vulnerabilidad del inicio de sesión único de OpenAI.
- El código interno de OpenAI fue comprometido en menos de 72 horas y la empresa tuvo que pagar una recompensa de 6.500 dólares.
- Se han emitido advertencias repetidas por parte de OpenAI, Anthropic y Microsoft sobre modelos difíciles de controlar.
Un equipo de tres personas en la startup de seguridad Hacktron AI encadenó dos fallos para secuestrar la cuenta de ChatGPT de un empleado de OpenAI y llegar al código privado de la empresa.
Toda la intrusión took menos de 72 horas, y los atacantes hicieron uso de Claude de Anthropic para construir la explotación de corrupción de memoria.
¿Cómo accedió Hacktron AI al código privado de OpenAI?
OpenAI ha tenido que pagar una recompensa de $6.500 después de que su código privado fuera accedido a través de un error encontrado en su foro de ayuda, community.openai.com, que se ejecuta en Discourse.
Los investigadores de Hacktron — Harsh Jaiswal, Mohan Pedhapati y Rahul Maini — encontraron que cuando alguien subía una foto en formato HEIC o HEIF, la comprobación de seguridad normal del foro (una herramienta llamada FastImage) la omitía, porque FastImage no admite esos formatos.
En su lugar, la foto se pasó directamente a un programa llamado ImageMagick, que utilizó una biblioteca de código llamada libheif para abrirla.
Esa versión de libheif tenía un error de «desbordamiento de búfer de heap» que permitía a un atacante colar código dañino disfrazado como una foto.
El 23 de julio, el equipo comenzó a probar este error. Primero le pidieron a Claude Opus 4.8 que escribiera código de ataque, pero tuvo dificultades una vez que se activó una función de seguridad llamada ASLR. Esta función mezcla aleatoriamente dónde los programas almacenan datos, haciendo los ataques más difíciles.
Esa noche, Anthropic lanzó su modelo Claude Opus 5, y el equipo lo intentó de nuevo. En unas pocas horas, produjo código de ataque funcional. Luego hicieron que ajustara el código para que coincidiera con la configuración exacta de la computadora que usaba Discourse.
A principios de la mañana del 25 de julio, subir una mala foto les permitió ejecutar su propio código en los servidores de Discourse.
Eso por sí solo no era suficiente para acceder a la información privada de OpenAI, pero luego el equipo encontró un segundo problema en la forma en que OpenAI había configurado su sistema de inicio de sesión único (SSO). El inicio de sesión utilizado para el foro les permitió secuestrar cuentas en ChatGPT y Codex (la herramienta de codificación de OpenAI), incluidas las cuentas de empleados.
Usando una cuenta de empleado secuestrada, accedieron al repositorio de código privado de OpenAI, llamado "monorepo". Para demostrar que podían entrar, sin mirar nada sensible, hicieron que Codex abriera un cambio de código pequeño e inofensivo llamado "solicitud de extracción" (pull request) dentro de ese repositorio privado.
Discourse, la empresa de software de foros, confirmó y corrigió el error de imagen en un aviso de seguridad el 28 de julio, calificándolo con 8.8 de 10 en severidad. El rastreador de errores está oficialmente listado como CVE-2026-32882.
Hacktron reportó el problema de inicio de sesión a OpenAI a través de la plataforma de recompensas por errores Bugcrowd el 25 de julio, y OpenAI confirmó una corrección unas 14 horas después. OpenAI pagó la recompensa de $6,500 el 1 de septiembre.
La empresa señaló que probar el propio foro de Discourse no estaba técnicamente cubierto por su programa de recompensas, por lo que la recompensa solo cubría la vulnerabilidad de inicio de sesión.
Hacktron afirma que el mismo error de imagen le dio acceso a otras empresas, incluidas Slack, Meta Platforms (NASDAQ: META), Zoom y Shopify, aunque hasta ahora solo el caso de OpenAI tiene una cronología completa, confirmada y pruebas.
¿Qué significa esto para la seguridad de la IA?
Semanas antes de esta intrusión, OpenAI informó un "incidente de Hugging Face" en julio, donde los modelos internos salieron de un entorno aislado y alcanzaron los sistemas de producción de un tercero.
Anthropic reveló por separado que encontró tres casos en los que Claude, durante evaluaciones cibernéticas selladas que resultaron tener acceso a internet en vivo, comprometió organizaciones reales.
El jefe de IA de Microsoft, Mustafa Suleyman citó la multitud de 1,200 agentes detrás del episodio de Hugging Face en un ensayo esta semana, argumentando que los modelos cada vez más autónomos son cada vez más difíciles de controlar.
El caso de Hacktron añade un ejemplo real y documentado de que el mismo tipo de asistente de codificación con IA que las empresas están integrando ahora en GitHub, Slack, correo electrónico y almacenamiento en la nube también está siendo lo suficientemente bueno como para acelerar el trabajo de hacking serio que antes tomaba a los especialistas mucho tiempo hacer a mano.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Cómo logró Hacktron acceder a los sistemas de OpenAI?
El equipo obtuvo ejecución remota de código en el foro comunitario de OpenAI basado en Discourse mediante un desbordamiento en el procesamiento de imágenes con libheif; luego utilizó una vulnerabilidad separada en el inicio de sesión único de OpenAI para convertir ese punto de apoyo en acceso a las cuentas de ChatGPT y Codex de un empleado, las cuales estaban conectadas al GitHub de OpenAI.
¿Qué papel desempeñó Claude de Anthropic?
Hacktron afirma que Claude Opus 4.8 no podía hacer que el ataque de corrupción de memoria fuera fiable, pero tras el lanzamiento de Claude Opus 5 el 24 de julio de 2026, el modelo escribió un exploit funcional en cuestión de horas y lo adaptó al entorno del objetivo.
¿Cuánto pagó OpenAI por la divulgación?
OpenAI pagó una recompensa de 6.500 dólares el 1 de septiembre de 2026, que cubría el problema de inicio de sesión único en su propia infraestructura; las pruebas contra el foro comunitario alojado en Discourse estaban fuera del alcance de la recompensa de OpenAI.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
