Un equipo de tres investigadores de la firma de seguridad Hacktron dijo haber accedido a cuentas de empleados de OpenAI en menos de 72 horas, usando el modelo Claude de Anthropic para automatizar buena parte del ataque. El acceso, según relató la propia firma, llegó hasta el repositorio interno conocido como Monorepo, donde OpenAI guarda parte del código de sus modelos, y la compañía terminó pagando USD 6.500 como recompensa por el hallazgo.
Un fallo en el procesamiento de imágenes abrió la puerta
El acceso arrancó por Discourse, el servicio externo que aloja el foro comunitario de OpenAI. Los investigadores explotaron una falla en cómo ese sistema procesa archivos de imagen en formato HEIF, el mismo que usan por defecto los iPhone y buena parte de los servicios web actuales. A partir de una imagen corrupta lograron ejecución remota de código, la capacidad de correr comandos propios dentro de un sistema ajeno, sobre la instancia de Discourse que usa OpenAI, y desde ahí escalaron hasta cuentas reales de empleados.
Para demostrar el alcance sin robar información sensible, el equipo mandó un pull request, una propuesta de cambio de código, desde la cuenta de Codex de un empleado de OpenAI. Fue la prueba que usaron para acreditar que habían entrado, sin exponer el código interno real del repositorio.
Claude Opus 5 resolvió en horas lo que la versión anterior no pudo
Según el relato de Hacktron, la versión Opus 4.8 de Claude había tenido dificultades para convertir la falla en un exploit funcional. Eso cambió con el lanzamiento de Opus 5 el 24 de julio: la misma noche empezaron a probarlo y para las 10 de la mañana del día siguiente ya tenían ejecución remota de código sobre Discourse Cloud, con acceso a la instancia de OpenAI. El salto de una versión de modelo a otra terminó siendo la diferencia entre un ataque frustrado y uno exitoso.
El proyecto, que Hacktron bautizó HEIF Heist, tardó apenas uno o dos días en adaptarse a otros objetivos además de OpenAI, entre ellos Slack, Meta, GitHub Enterprise, Rails, Next.js e ImageMagick. El gasto total en tokens de IA para toda la campaña fue de menos de USD 3.000, una cifra baja frente a los costos habituales de una investigación de este alcance.
Shopify fue la única compañía que detectó el ataque
De todos los objetivos probados, solo Shopify identificó la actividad sospechosa, según reconoció el propio equipo de Hacktron. El resto, incluida OpenAI, no notó la intrusión hasta que los investigadores reportaron la vulnerabilidad de forma directa. Las fallas informadas a Discourse y a OpenAI ya fueron corregidas.
Mohan Pedhapati, CTO de Hacktron, relativizó el alcance de su propio trabajo frente al de actores estatales: «No creo que seamos tan fuertes como los grupos de amenazas chinos, somos solo tres personas con suscripciones a Claude y Codex». Tres personas y menos de USD 3.000 en consumo de IA alcanzaron para comprometer la infraestructura de una de las empresas de inteligencia artificial más valiosas del mundo.
Google reporta avances similares para detectar fallas en su propio código
El episodio se suma a una tendencia que crece en ciberseguridad: usar modelos de lenguaje para acelerar tanto la búsqueda de vulnerabilidades como la construcción de exploits, tareas que antes demandaban semanas de trabajo manual de especialistas. Google viene reportando avances con IA aplicada a la detección defensiva de fallas en su propio código, un desarrollo que muestra que la misma tecnología se usa para atacar y para defender dentro de la industria.
No hay confirmación pública de Meta ni de Slack sobre el alcance exacto de lo reportado por Hacktron en sus sistemas. OpenAI tampoco emitió una declaración detallada más allá del pago de la recompensa por el hallazgo en su foro. Discourse, la plataforma que originó el acceso inicial, no precisó cuántos de sus clientes quedaron expuestos mientras la falla estuvo abierta.
