El modelo Claude de Anthropic fue utilizado para vulnerar a OpenAI

En un desarrollo que subraya el panorama cambiante de la seguridad de la inteligencia artificial, investigadores independientes aprovecharon a Claude de Anthropic para vulnerar a OpenAI, revelando fallos en las defensas del desarrollador de ChatGPT, según informó The Wall Street Journal el jueves.

Un equipo de tres miembros de Hacktron AI ejecutó la explotación bajo el programa de recompensas por fallos de OpenAI. Tras informar sus hallazgos, la startup recibió una recompensa de 6.500 dólares. Al encadenar dos vulnerabilidades críticas, el equipo obtuvo acceso a múltiples cuentas de ChatGPT de empleados de OpenAI, penetrando así la infraestructura de software interna de la empresa.

OpenAI afirma que las vulnerabilidades identificadas por Hacktron han sido resueltas, un movimiento que coincide con un escrutinio creciente sobre las principales empresas de IA respecto a los protocolos de seguridad.

Este evento sigue a incidentes recientes en los que los propios agentes de inteligencia artificial de OpenAI vulneraron la contención durante evaluaciones de ciberseguridad y hackearon Hugging Face, lo que destaca la creciente autonomía de los modelos de IA. También demuestra cómo la tecnología comercial estándar puede utilizarse para identificar debilidades incluso en las infraestructuras corporativas más avanzadas.

“Por solo 200 dólares al mes, cualquiera puede utilizar estas herramientas para hackear una empresa como OpenAI”, declaró Matt Fredrikson, director ejecutivo de la firma de seguridad de IA Gray Swan, a TechCrunch. “Si puede ocurrirles a ellos —y no creo que hayan sido negligentes en su higiene de ciberseguridad recientemente—, podría ocurrirle a cualquiera”.

Como señaló un comentarista de IA en redes sociales: “[Hacktron] utilizó Opus 5 para ejecutar el hack… La pregunta urgente es: si estos tres individuos pueden lograr esto, ¿qué podría ser capaz de hacer un estado-nación?”.

Los investigadores identificaron un punto de entrada a OpenAI el 25 de julio a través de un fallo en Discourse, el software de terceros que impulsa el foro comunitario de OpenAI.

Según una publicación de blog de los investigadores, el vector inicial fue una subida de imágenes rutinaria. Cuando los usuarios enviaban archivos de imagen HEIF o HEIC (el formato predeterminado para iPhones) al foro, Discourse los procesaba mediante una serie de herramientas de backend para convertirlos en JPEG estándar. El primer paso involucraba a ImageMagick, una utilidad de código abierto de larga data para redimensionar imágenes. Dado que el kit de herramientas estándar de ImageMagick no puede manejar el formato de Apple, delegaba la tarea de decodificación a otra biblioteca, libheif.

Oculto dentro de libheif había un error de memoria que permitía a un atacante inyectar instrucciones maliciosas. Al alimentar a la biblioteca con una imagen especialmente elaborada, los investigadores hicieron que calculase mal la posición de una imagen sobre otra, lo que finalmente les permitió secuestrar el servidor.

Lo que puede preocupar a la comunidad de ciberseguridad es que este error ya había sido corregido por los desarrolladores de libheif meses antes. Sin embargo, la corrección nunca se designó formalmente como una vulnerabilidad, lo que significa que no recibió un número CVE (Vulnerabilidades y Exposiciones Comunes), el estándar de la industria para rastrear fallos de seguridad conocidos. Hacktron sugiere que esta omisión puede explicar por qué Discourse aún ejecutaba la versión vulnerable del software.

Cabe destacar que los investigadores informaron que el modelo Claude que estaban utilizando —una versión especializada de Opus 4.8 proporcionada para investigadores de ciberseguridad— inicialmente no logró generar una explotación funcional. Esto cambió durante la noche tras el lanzamiento de Opus 5 por parte de Anthropic.

“Opus 4.8 tuvo dificultades en varias sesiones para producir una explotación funcional”, escribió Hacktron en una publicación de blog. “En pocas horas tras el lanzamiento de Opus 5, le planteamos el mismo problema y tuvo éxito”.

Una vez dentro del servidor de Discourse, los investigadores descubrieron otro fallo que les permitió tomar el control de las cuentas de ChatGPT y Codex de los usuarios, incluidas las pertenecientes a empleados de OpenAI.

“Luego tomamos el control de la cuenta de un empleado de OpenAI, cuyo Codex estaba conectado a la organización de Github de OpenAI”, escribió Hacktron en su resumen del incidente.

En esta etapa, los investigadores notificaron tanto a OpenAI como a Discourse, emitiendo este último una corrección el 27 de julio.

Este incidente destaca los límites de las capacidades de los modelos. Claude Opus 5, la versión que explotó con éxito el error, no ha estado sujeto a restricciones de exportación de seguridad, a diferencia del más reciente Mythos 5, que fue restringido temporalmente debido a preocupaciones sobre su avanzado potencial de hacking.

Estos son simplemente modelos cerrados. Los modelos de peso abierto están cerrando cada vez más la brecha en capacidades cibernéticas con los modelos de vanguardia. Por ejemplo, la organización benéfica de seguridad de IA SaferAI encontró recientemente que GLM-5.2 de la empresa china Z.ai estaba solo a unos meses de distancia de GPT-5.5 de OpenAI y Claude Opus 4.7 de Anthropic en términos de capacidades cibernéticas.

Como declaró el fundador de Hacktron, Mohan Pedhapati, en X: “La IA está reduciendo la cantidad de experiencia escasa necesaria para desarrollar explotaciones. El trabajo que antes tomaba meses ahora puede realizarse en días”.