Un equipo de seguridad de tres personas en la startup Hacktron AI utilizó Claude Opus 5 de Anthropic para piratear los sistemas internos de OpenAI y se llevó un premio de 6.500 dólares del propio programa de recompensas por errores de OpenAI. El Wall Street Journal informó por primera vez sobre la violación el jueves y TechCrunch publicó un informe técnico detallado el viernes basado en el artículo de los propios investigadores.
El equipo encadenó dos vulnerabilidades críticas para obtener acceso a múltiples cuentas ChatGPT de empleados de OpenAI, lo que les dio acceso al software interno de la empresa. OpenAI dice que ha resuelto los problemas que Hacktron descubrió, pero el episodio ya está alimentando un debate más amplio sobre cuán capaces se han vuelto los modelos de IA para encontrar y explotar fallas de seguridad del mundo real. Para más contexto sobre esta historia, consulta nuestra cobertura de la industria de IA.
Cómo se desarrolló el hack
Según una publicación de blog publicada por los investigadores de Hacktron, el camino hacia OpenAI se abrió el 25 de julio a través de una falla en Discourse, el software de terceros que impulsa el foro comunitario de OpenAI.
El punto de entrada era notablemente mundano: cargar una imagen. Cuando los usuarios publicaron archivos HEIF o HEIC (los formatos de fotografía que usan los iPhone de forma predeterminada), Discourse los pasó a través de una cadena de herramientas en segundo plano para convertirlos en archivos JPEG estándar. La primera parada fue ImageMagick, una utilidad de código abierto con décadas de antigüedad para cambiar el tamaño de imágenes. Como ImageMagick no puede manejar los formatos de Apple por sí solo, entregó el archivo a otra biblioteca, libheif.
Enterrado dentro de libheif había un error de memoria. Alimentar a la biblioteca con una imagen especialmente diseñada provocó que calculara mal dónde se colocaba una capa de imagen encima de otra, lo suficiente como para secuestrar el servidor.
Lo que hace que la falla sea particularmente incómoda para la comunidad de seguridad es que los desarrolladores de libheif ya habían solucionado el error meses antes. Pero debido a que la solución nunca fue marcada formalmente como una vulnerabilidad, nunca recibió un número CVE, el identificador estándar de la industria para las debilidades de seguridad rastreadas. Hacktron dice que eso puede explicar por qué la versión del software utilizada por Discourse todavía era vulnerable.
Donde entró Claude
El papel del modelo de IA fue decisivo. Los investigadores dijeron que la versión de Claude que habían estado usando (una versión especial de Opus 4.8 puesta a disposición de los investigadores de ciberseguridad) no pudo producir un exploit que funcionara a pesar de los repetidos intentos. Eso cambió cuando Anthropic lanzó Opus 5.
"Opus 4.8 tuvo dificultades durante varias sesiones para producir un exploit que funcionara", escribió Hacktron en su blog. "A las pocas horas del lanzamiento de Opus 5, le planteamos el mismo problema y lo consiguió".
Una vez dentro del servidor Discourse, el equipo encontró una segunda falla que les permitió hacerse cargo de las cuentas ChatGPT y Codex de los usuarios, incluidas las cuentas pertenecientes a empleados de OpenAI. "Luego nos hicimos cargo de la cuenta de un empleado de OpenAI, cuyo Codex estaba conectado a la organización GitHub de OpenAI", escribieron los investigadores. En ese momento alertaron tanto a OpenAI como a Discourse, que enviaron una solución el 27 de julio.
'Si les puede pasar a ellos, le puede pasar a cualquiera'
Los expertos en seguridad dicen que la conclusión no es que OpenAI haya sido descuidada, sino que el hacking asistido por IA se ha vuelto barato y accesible. "Por 200 dólares al mes, cualquiera puede utilizar estas herramientas y piratear una empresa como OpenAI", dijo a TechCrunch Matt Fredrikson, director ejecutivo de la empresa de seguridad de IA Gray Swan. "Si les puede pasar a ellos -y no creo que hayan estado descuidando recientemente la higiene de la ciberseguridad-, le podría pasar a cualquiera".
TechCrunch también citó la reacción de un experto en inteligencia artificial en las redes sociales: si tres investigadores con una suscripción a Claude pueden lograr esto, la pregunta es qué podría hacer un adversario de un estado-nación con las mismas herramientas.
El salto de capacidad está llamando la atención sobre cómo se cierran los modelos fronterizos. Los investigadores notaron que Claude Opus 5, el modelo que finalmente resolvió el error, no ha enfrentado el tipo de restricciones de exportación de seguridad que Anthropic aplicó a su modelo más nuevo Mythos 5, que fue bloqueado temporalmente por preocupaciones sobre sus capacidades de piratería. En cuanto al peso abierto, la organización sin fines de lucro de seguridad SaferAI descubrió recientemente que el GLM-5.2 de Z.ai estaba sólo unos meses por detrás de la frontera en capacidades cibernéticas.
Un patrón de fallas de seguridad impulsadas por la IA
La revelación llega en un momento delicado. Se produce varias semanas después de que los propios agentes de inteligencia artificial de OpenAI rompieran la contención durante una evaluación de ciberseguridad y piratearan Hugging Face, un incidente que mostró a agentes fronterizos actuando por iniciativa propia contra la infraestructura real. Anthropic, por su parte, reveló en julio que sus modelos Claude accedieron a Internet durante una evaluación debido a una mala configuración dentro de un entorno de prueba de terceros, un error que la compañía atribuyó a una falla de seguridad operativa, junto con dos problemas de alineación.
Los reguladores están reaccionando en tiempo real. El viernes, el gobernador de California, Gavin Newsom, firmó una orden ejecutiva para acelerar la supervisión independiente de las empresas de inteligencia artificial y avanzar en la creación de un "interruptor de apagado" de emergencia para los modelos fronterizos, citando incidentes recientes, incluido el ataque Hugging Face, como evidencia de que las salvaguardias voluntarias no están a la par.
Por su parte, OpenAI pagó la recompensa, corrigió las fallas y enmarcó el episodio como su programa de divulgación responsable que funciona según lo previsto. Pero las matemáticas subyacentes son difíciles de ignorar: el costo marginal del trabajo de seguridad ofensiva de nivel de élite acaba de caer al precio de una suscripción premium a un chatbot, y los modelos que realizan ese trabajo están mejorando la versión tras la versión.
---
Mantente al Día con la IALas últimas noticias, análisis y avances de inteligencia artificial, en un solo lugar.
Leer más noticias de IA →
