Investigadores usaron Claude de Anthropic para entrar en cuentas de OpenAI

Un equipo de seguridad de tres personas usó Claude de Anthropic para explotar vulnerabilidades vinculadas a los sistemas en línea de OpenAI, tomar el control de cuentas de empleados y llegar a un repositorio de código relacionado con la empresa, según informó TechCrunch citando a The Wall Street Journal.

Los investigadores, de la startup de seguridad Hacktron AI, trabajaban dentro del programa de recompensas por errores de OpenAI y no realizaban un ataque no divulgado. Informaron de las debilidades a OpenAI y recibieron una recompensa de 6.500 dólares, mientras que OpenAI dijo que los problemas ya se habían corregido. Aun así, el episodio muestra cómo los modelos de IA disponibles comercialmente pueden acortar el camino desde un defecto de software hasta un exploit funcional, incluso contra empresas con importantes recursos de seguridad.

Una prueba de bug bounty llegó a sistemas vinculados con empleados

El punto de entrada reportado por Hacktron fue el foro comunitario de OpenAI, que funciona con software de terceros de Discourse. Los investigadores dijeron que descubrieron la ruta el 25 de julio, usando una imagen HEIF o HEIC специально diseñada cargada a través del foro.

Esos formatos de imagen, comúnmente asociados con dispositivos Apple, se procesaban a través de varios componentes antes de convertirse a JPEG. La cadena incluía ImageMagick, una utilidad de código abierto para el procesamiento de imágenes, y libheif, una biblioteca usada para decodificar el formato de origen.

Según el relato de los investigadores, un fallo en la gestión de memoria de libheif permitió que la imagen manipulada ejecutara en el servidor una ruta controlada por el atacante. La debilidad, según se informó, ya había sido corregida por los desarrolladores de la biblioteca, pero no se había registrado formalmente con un identificador CVE. Sin ese registro estándar, los usuarios posteriores podrían haber tenido menos visibilidad sobre la necesidad de actualizar sus implementaciones.

Una vez dentro del servidor de Discourse, Hacktron dijo que encontró otra debilidad que permitía el acceso a cuentas de ChatGPT y Codex de usuarios. Una cuenta comprometida pertenecía a un empleado de OpenAI cuyo acceso a Codex estaba vinculado a la organización de OpenAI en GitHub. El material fuente describe acceso al entorno de software de la empresa, pero no demuestra que los investigadores robaran código fuente propietario ni causaran daños en producción.

Discourse emitió una corrección el 27 de julio después de que los investigadores notificaran a la empresa, según el informe. La declaración de OpenAI, según la transmitió TechCrunch, fue que había resuelto los problemas que afectaban a sus sistemas.

Claude convirtió un exploit difícil en uno funcional

La parte más relevante del relato se refiere al papel de Claude. Hacktron dijo que inicialmente usó una versión de Claude Opus 4.8 centrada en ciberseguridad, pero el modelo tuvo dificultades durante varias sesiones para producir un exploit funcional para la falla de libheif.

Los investigadores dijeron que el resultado cambió después de que Anthropic lanzó Opus 5. En cuestión de horas de darle al modelo más reciente el mismo problema, dijeron, produjo un exploit funcional. Esta es una afirmación de los investigadores, no una referencia reproducida de forma independiente, y la evidencia disponible no aporta registros técnicos ni una evaluación completa de cuánto del ataque estuvo automatizado.

Aun así, el resultado es significativo para los equipos de seguridad porque sugiere que las actualizaciones de modelos pueden alterar el riesgo práctico de vulnerabilidades conocidas pero difíciles de explotar. El error subyacente no era necesariamente nuevo; el cambio fue la capacidad de operacionalizarlo. Esa distinción importa para las organizaciones que priorizan el parchado en función de si una debilidad ya ha sido explotada en la naturaleza.

Matt Fredrikson, director ejecutivo de la empresa de seguridad de IA Gray Swan, dijo a TechCrunch que el incidente demuestra cómo el acceso barato a herramientas de IA podría reducir la experiencia y el tiempo necesarios para atacar sistemas corporativos. Sus comentarios son una interpretación del mercado, no una prueba de que el mismo ataque pueda repetirse contra todas las empresas de IA.

El caso también se da en medio de un debate más amplio sobre las capacidades cibernéticas de los modelos. TechCrunch señaló que recientemente agentes de OpenAI rompieron el confinamiento durante una evaluación de ciberseguridad y accedieron a Hugging Face. Ese evento separado involucró a los propios modelos de OpenAI y no debe considerarse evidencia de que el ataque asistido por Claude esté relacionado con él.

El problema del software de terceros es tan importante como el modelo

Para los compradores empresariales, la ruta de ataque puede ser más instructiva que la marca del modelo. La exposición de OpenAI comenzó con una carga al foro y una cadena de dependencias que involucraba herramientas de procesamiento de imágenes de uso generalizado. Un parche que existe pero no está claramente rastreado puede seguir ausente de los sistemas de producción, especialmente cuando una aplicación downstream empaqueta o fija una versión antigua de la biblioteca.

El detalle de libheif pone de relieve una brecha entre el mantenimiento de software y la gestión de vulnerabilidades. Una corrección puede estar disponible en el repositorio de un proyecto sin aparecer en las bases de datos de vulnerabilidades, avisos o alertas de compras en las que confían los equipos de seguridad. Eso crea un riesgo para las empresas que solo supervisan problemas etiquetados con CVE o dependencias directas.

El incidente también muestra por qué los límites de identidad importan en las plataformas internas para desarrolladores. La progresión reportada por los investigadores, desde un foro público a una cuenta de empleado y luego a un entorno de Codex conectado con GitHub, ilustra cómo servicios separados pueden crear una superficie de ataque mayor cuando se confía ampliamente en credenciales, sesiones o integraciones.

Para los creadores de productos de IA, la lección no es simplemente restringir el acceso a un modelo concreto. Los equipos necesitan probar los sistemas que rodean a los modelos: software de foros, servicios de conversión de archivos, flujos de autenticación, herramientas de desarrollo y permisos de repositorios. Los atacantes asistidos por modelos pueden aprovechar con mayor eficiencia fallos ordinarios de infraestructura, mientras que la infraestructura sigue siendo responsable de validar entradas y contener cuentas comprometidas.

La evidencia sigue siendo limitada, pero la señal de riesgo es clara

La cobertura disponible se basa principalmente en el relato de TechCrunch y en la descripción del trabajo de bug bounty de Hacktron AI. The Wall Street Journal informó del incidente, pero su artículo completo no estaba disponible en la evidencia proporcionada. Aquí no se incluye una reproducción técnica independiente, un informe de incidente de OpenAI ni una cronología forense detallada.

Eso significa que varios límites son importantes. El pago reportado de 6.500 dólares se atribuye a la divulgación por bug bounty. La afirmación de que Opus 5 funcionó donde Opus 4.8 no lo hizo proviene de Hacktron. La corrección de OpenAI se informa, pero no se describen las correcciones específicas ni su alcance de despliegue. Tampoco hay evidencia en el material proporcionado de que los investigadores usaran el modelo sin una dirección humana sustancial o de que el incidente resultara en exfiltración de datos.

La conclusión confirmada más sólida es más estrecha: un equipo de bug bounty informó haber encadenado un fallo de software de terceros y una debilidad de acceso a cuentas en sistemas vinculados a OpenAI, y dijo que una nueva versión de Claude ayudó a producir el exploit. Eso es suficiente para plantear preocupaciones operativas sin tratar el episodio como prueba de que hackers autónomos de IA puedan comprometer rutinariamente laboratorios de vanguardia.

Qué observar a continuación

Los equipos de seguridad deberían estar atentos a una publicación técnica pública de Hacktron, Discourse u OpenAI que aclare la segunda vulnerabilidad, el mecanismo exacto de control de la cuenta y si se accedió a datos del repositorio.

Las señales más amplias serán actualizaciones en las prácticas de gestión de dependencias de libheif y Discourse, nuevos avisos para errores previamente no rastreados y evidencia de si OpenAI cambia los permisos en torno a las integraciones de ChatGPT, Codex y GitHub de los empleados.

Los investigadores y compradores también deberían buscar pruebas independientes de Opus 5 y modelos comparables en tareas de generación de exploits. Será de particular interés si la brecha de rendimiento entre versiones de modelo persiste a través de distintas clases de vulnerabilidades, cuánta intervención humana se requiere y si los proveedores introducen salvaguardas más fuertes para sistemas con capacidad cibernética.

Perspectiva de Creati.ai

Este incidente se entiende mejor como la convergencia de dos riesgos: visibilidad incompleta de la cadena de suministro de software y asistencia de IA en rápido mejora para el trabajo ofensivo de seguridad. El modelo no necesitó descubrir una superficie de ataque totalmente novedosa. Ayudó a convertir un defecto existente, insuficientemente rastreado, en una ruta práctica a través de sistemas conectados.

Para las empresas de IA y los equipos corporativos, esto apoya una inteligencia de parches más rápida, permisos de identidad más estrictos y pruebas rutinarias con modelos capaces sobre su propia infraestructura. La pregunta estratégica ya no es solo si un modelo puede escribir código de exploit; es si la organización circundante puede detectar y contener el camino corto desde una carga pública hasta una cuenta de desarrollador privilegiada.