✨︎ Resumen (TL;DR):
- Hacktron AI encadenó dos vulnerabilidades con Claude Opus 5 y llegó a sistemas internos de OpenAI en menos de 72 horas.
- El equipo tomó control de cuentas de empleados, alcanzó el repositorio privado y abrió una “pull request” de prueba. OpenAI pagó 6,500 dólares.
- La prueba ocurrió dentro de un programa de recompensas por fallos, pero mostró que la IA puede comprimir en días un trabajo de seguridad que antes tomaba meses.
Tres investigadores de Hacktron AI usaron Claude Opus 5, una versión de Claude de Anthropic configurada para ciberseguridad, para encadenar dos vulnerabilidades y tomar control de cuentas de empleados de OpenAI. En menos de 72 horas llegaron al repositorio privado de código de la compañía, abrieron una “pull request” inofensiva como prueba y reportaron el acceso dentro del programa de recompensas por fallos de OpenAI; la compañía les pagó 6,500 dólares. El caso expone cómo la IA puede comprimir en días un trabajo de seguridad que antes tomaba meses.
El Wall Street Journal dio a conocer primero el caso. No fue un ataque malicioso ni una IA actuando por su cuenta: Harsh Jaiswal, Mohan Pedhapati y Rahul Maini trabajaron dentro del bug bounty de OpenAI, reportaron lo que encontraron y detuvieron el ejercicio.
Del foro público al repositorio privado
El punto de entrada fue el foro público de la comunidad de OpenAI, que funciona sobre Discourse, un software de terceros. A alto nivel, los investigadores encadenaron una falla en el procesamiento de imágenes del foro con una mala configuración del inicio de sesión único, o SSO.
Esa combinación les permitió apoderarse de credenciales de empleados que también servían para acceder a ChatGPT, Codex y el repositorio privado de código de OpenAI en GitHub. Una vez dentro, abrieron una “pull request” de prueba sin descargar ni estudiar el código fuente.
El equipo avisó de inmediato a OpenAI y a Discourse. Cada una reparó su parte. Un vocero de OpenAI, Drew Pusateri, agradeció a los investigadores “por contactarnos y compartir sus hallazgos”. En declaraciones a Forbes, señaló que la vulnerabilidad ya fue resuelta.
OpenAI también aclaró que las pruebas contra el foro alojado en Discourse estaban fuera del alcance de su programa y que la recompensa correspondía al hallazgo en el lado de OpenAI.
Claude hizo el trabajo pesado
Claude configurado para ciberseguridad es una versión de los modelos de Anthropic disponible para investigadores autorizados que buscan vulnerabilidades. Hacktron probó primero Claude Opus 4.8.
En el reporte firmado por Jaiswal, Pedhapati y Maini, el equipo escribió que el modelo “batalló durante varias sesiones para producir un exploit funcional”. Cuando Anthropic lanzó Opus 5, volvieron a intentarlo y lo lograron. Después anotaron: “cada nuevo modelo es cada vez más capaz”.
El caso de OpenAI tomó unos pocos días de trabajo del agente y apenas unas horas de tiempo humano. Esa diferencia concentra la advertencia del caso: una experiencia técnica que antes era escasa puede convertirse en cómputo y recortar meses de trabajo.
HEIF Heist y el costo de probar fallas
La investigación que llevó a OpenAI formó parte de un proyecto más amplio llamado HEIF Heist. El equipo examinó cómo distintos programas procesan ciertos archivos de imagen y encontró fallas en servicios como Slack, Zoom y Meta.
Según los tres investigadores, el proyecto costó “menos de 3,000 dólares en tokens”. El trabajo tomó dos meses y participaron tres personas.
El bug bounty no elimina la preocupación
El saldo inmediato fue acotado. Hubo acceso al repositorio interno, una solicitud de cambios de prueba y una notificación a las dos compañías; según los investigadores, no hubo descarga ni estudio del código fuente.
Al cerrar su reporte, Jaiswal, Pedhapati y Maini advirtieron que buena parte de la seguridad del software dependía de su complejidad. Según su análisis, la IA está retirando esa protección al convertir en cómputo una experiencia técnica que antes era escasa.
Lo resumieron así: “las suposiciones de seguridad deben ponerse al día con las capacidades de los atacantes”.
Hacktron actuó dentro de un programa autorizado, reportó lo encontrado y frenó la prueba. Las mismas capacidades que ayudaron a estos investigadores también pueden quedar en manos de alguien que no tenga esos escrúpulos.
OpenAI y Discourse ya repararon sus respectivas partes. La tensión pendiente es concreta: si Claude redujo a días un trabajo que antes tomaba meses, las suposiciones de seguridad tendrán que actualizarse a esa misma velocidad.
