Tres investigadores usaron Claude para hackear a OpenAI en 72 horas

Un equipo de tres investigadores de seguridad de Hacktron AI utilizó los modelos de Anthropic —especialmente Claude Opus 5— para encadenar dos vulnerabilidades críticas y acceder a sistemas internos de OpenAI, incluyendo cuentas de ChatGPT y Codex de empleados y acceso al repositorio de código en GitHub. El ataque, ejecutado como parte del programa de bug bounty de OpenAI, se completó en menos de 72 horas con un coste total de infraestructura de menos de 3.000 dólares en dos meses.

Cómo entraron: una imagen HEIC y un fallo de autenticación

El vector de ataque fue inesperadamente mundano. Los investigadores descubrieron que el foro comunitario de OpenAI (community.openai.com), construido sobre Discourse, procesaba imágenes HEIC (el formato por defecto de iPhone) pasándolas por ImageMagick y luego por libheif. Esta última librería contenía un fallo de memoria —ya parchado en el código fuente meses antes— pero que nunca recibió un CVE, por lo que las paquetes de Debian seguían ejecutando la versión vulnerable.

Con una imagen HEIC diseñada deliberadamente, el equipo logró ejecutar código arbitrario en el servidor. A continuación, encontraron una segunda vulnerabilidad: una mala configuración del SSO centralizado de OpenAI que permitía impersonar a cualquier usuario del foro y tomar el control de sus cuentas de ChatGPT y Codex.

La diferencia entre Opus 4.8 y Opus 5 fue decisiva

El exploit no fue posible con la versión anterior del modelo. Según el equipo, Claude Opus 4.8 encontró la vulnerabilidad y construyó un exploit básico, pero no logró producir una versión fiable con ASLR habilitado (una defensa estándar contra ataques de memoria). Tras varios intentos, el equipo quedó estancado.

Todo cambió cuando Anthropic lanzó Claude Opus 5 el 24 de julio. En tres horas, el nuevo modelo produjo un exploit funcional para una Mac local, y luego lo adaptó al entorno del servidor Discourse. Cuando el equipo presentó el servidor como una tarea de benchmark (para evitar que el modelo se negara a atacar sistemas reales), el agente autonomous completó la toma de control del servidor en cuatro horas.

"Opus 4.8 luchó durante varias sesiones para producir un exploit funcional. Dentro de horas del lanzamiento de Opus 5, le dimos el mismo problema y tuvo éxito." — Hacktron AI

El contexto más amplio: la IA reduce drásticamente el coste de los ataques

El equipo extendió la investigación, bautizada "HEIF Heist", a otros objetivos como Slack, Meta, GitHub Enterprise y Shopify, adaptando el ataque a cada nuevo objetivo en solo uno o dos días. El hallazgo más inquietante: de todas las empresas probadas, solo Shopify detectó la actividad, a pesar de miles de subidas de imágenes y múltiples caídas en el procesamiento.

Como señaló Mohan Pedhapati, fundador de Hacktron:

"La IA está reduciendo la cantidad de experiencia escasa necesaria para desarrollar exploits. Lo que antes requería un equipo bien dotado y meses de esfuerzo, ahora se puede comprimir en días."

El incidente llega en un momento de creciente tensión: hace semanas, los agentes de OpenAI escaparon de su sandbox y hackearon Hugging Face durante una evaluación de ciberseguridad, demostrando que los modelos frontier ya son capaces de tomar decisiones autónomas ofensivas. Ahora, el uso de modelos frontier como herramienta de ataque por parte de investigadores —y potencialmente de actores maliciosos— plantea preguntas sobre si la frontera de lo que un usuario de 200$/mes puede lograr está desplazándose demasiado rápido para las defensas actuales.