Un equipo independiente de especialistas en ciberseguridad logró infiltrarse en el código interno de OpenAI empleando la inteligencia artificial Claude, desarrollada por Anthropic. Gracias a esta herramienta, consiguieron exponer fallos que ponen en riesgo los repositorios privados de la empresa.
Los responsables de esta intrusión son los miembros del colectivo Hacktron AI, una agrupación dedicada a la detección de vulnerabilidades. En su pesquisa, accedieron a la cuenta de ChatGPT de un trabajador de la firma liderada por Sam Altman. Este acceso les permitió examinar y proponer modificaciones en la caché privada del software de OpenAI.
Todo se desarrolló dentro de un programa oficial de OpenAI para hallar puntos débiles. Tras detectar los problemas, Hacktron AI notificó a la compañía tecnológica, que a su vez les recompensó con 6.500 dólares (aproximadamente 5.658 euros), según informó The Wall Street Journal.
De acuerdo con el comunicado publicado en el blog del grupo, los investigadores detectaron dos vulnerabilidades, y lo hicieron con el apoyo de los modelos más sofisticados de Claude, pertenecientes a Anthropic, rival directo de OpenAI.
El primer fallo consiste en una ejecución remota de código (RCE) dentro del servicio de terceros que alberga el foro de debate de OpenAI, denominado Discourse. El segundo es un error en los sistemas propios de la compañía, originado por una configuración inapropiada del mecanismo de autenticación SSO en su infraestructura de identidad.
Modus operandi
El proceso inició el 23 de julio, cuando los investigadores identificaron una anomalía en la carga de ciertos formatos de imagen en Discourse. Utilizaron una versión avanzada para investigadores de Claude Opus 4.8 para examinar el error. Así descubrieron que algunas correcciones de seguridad no se habían aplicado adecuadamente, lo que generó «un desbordamiento de búfer en el montón».
Una vez detectado el punto débil, solicitaron a Claude Opus 4.8 que generara un código para explotarlo, pero no obtuvieron éxito. Fue con la versión Claude Opus 5, lanzada en esos días, que lograron desarrollar una manera de materializar el fallo en un ciberataque.
Los miembros de Hacktron AI emplearon el código creado por Opus 5 para aprovechar la vulnerabilidad. De esta forma, consiguieron ingresar a un servidor de Discourse que contenía los foros de OpenAI, obteniendo así tokens de autenticación.
Con esos tokens, que también servían para las cuentas de ChatGPT, los investigadores tomaron control de una cuenta de un empleado de OpenAI. Dicha cuenta tenía acceso a Codex, vinculado a la organización de OpenAI en GitHub.
En este punto surge la segunda vulnerabilidad. Aprovechando el acceso, enviaron una solicitud a la cuenta de Codex del empleado para abrir una solicitud de extracción (pull request) en el monorepo interno de la empresa. Este monorepo es el repositorio privado donde OpenAI almacena sus proyectos, servicios y el desarrollo de sus modelos de IA.
De este modo, los investigadores lograron ingresar al código interno de OpenAI y, mediante ChatGPT, consultar los archivos internos del monorepo. No obstante, afirman que detuvieron las pruebas para evitar acceder a datos sensibles de la compañía.
Para evidenciar su acceso, la solicitud de pull request incluyó la inserción del texto «Hacktron AI Team PoC» en el repositorio, además de enlaces a las cuentas de la red social X de algunos investigadores, como Harsh Jaiswal.
Riesgos de las vulnerabilidades
Los investigadores subrayaron que el fallo «no es exclusiva de Discourse», sino que puede afectar a cualquier servicio de OpenAI que emplee OpenAI SSO.
«Ya sea propio o de terceros, si se viera comprometido, se produciría el mismo acceso. Discourse fue simplemente una forma de comprobarlo»
señalaron.
En respuesta, OpenAI agradeció a los investigadores por reportar los hallazgos y aseguró que las fallas ya fueron corregidas.
«Restringimos los permisos de los tokens de inicio de sesión de Community y revocamos los tokens y las sesiones afectadas»
explicó la compañía.
Por su lado, Discourse también reparó el problema en solo dos días tras recibir el informe de Hacktron AI.
Los investigadores destacaron que solo requirieron una suscripción a Claude y Codex para realizar esta investigación, lo que evidencia el peligro de que grupos con habilidades más avanzadas puedan infiltrarse y manipular estos sistemas.
«El ataque a Discourse y OpenAI requirió solo unos días por parte de un agente y apenas unas horas de trabajo humano», matizaron. Asimismo, recalcaron que «cada nuevo modelo es cada vez más capaz» y que las suposiciones de seguridad «deben actualizarse para estar a la altura de las capacidades de los atacantes».
Fuente: Infobae