Tres investigadores lograron acceder a OpenAI en menos de 72 horas con ayuda de Claude

Un grupo de tres investigadores de seguridad consiguió comprometer cuentas de empleados de OpenAI en menos de 72 horas apoyándose en Claude, la inteligencia artificial de Anthropic. El caso, conocido como HEIF Heist, no terminó en el robo de código interno, pero sí alcanzó un punto especialmente delicado al obtener acceso al repositorio corporativo de GitHub de la compañía, identificado como Monorepo.

La demostración pone sobre la mesa una realidad incómoda para toda la industria tecnológica. Las herramientas de IA generativa ya no solo aceleran la programación, la redacción o el análisis de datos. También pueden reducir drásticamente el tiempo, el coste y la experiencia necesaria para encontrar vulnerabilidades y construir cadenas de ataque. Para un investigador ético, eso puede significar detectar y reportar una brecha antes de que alguien la explote. Para un actor malicioso, puede convertirse en una palanca para atacar objetivos de mayor tamaño con muchos menos recursos.

Según la información publicada por The Verge, el equipo de Hacktron utilizó Claude Opus 4.8 y Claude Opus 5 durante la investigación. Su trabajo permitió demostrar que, con un presupuesto inferior a 3.000 dólares en tokens de IA, era posible adaptar la técnica a distintos objetivos tecnológicos en apenas uno o dos días.

Cómo funcionó el ataque HEIF Heist

El acceso no se produjo por una brecha directa en los sistemas centrales de OpenAI. La puerta de entrada fue Discourse, un servicio de terceros utilizado para alojar los foros de la comunidad de OpenAI. La investigación se enfocó en una vulnerabilidad relacionada con el procesamiento de imágenes HEIF, un formato muy utilizado por dispositivos Apple y cada vez más presente en servicios web.

Los investigadores encontraron una forma de abusar del sistema que trataba estos archivos de imagen. A partir de ahí, lograron obtener ejecución remota de código, conocida en seguridad como RCE por sus siglas en inglés. En la práctica, eso significa que un atacante consigue ejecutar instrucciones dentro del servidor vulnerable, como si tuviera una vía de control sobre parte de la infraestructura afectada.

El salto fue rápido. Hacktron aseguró que Claude Opus 5 se lanzó durante la noche del 24 de julio y que, antes de las 10 de la mañana del día siguiente, ya habían conseguido usar el modelo para alcanzar la ejecución remota de código en Discourse Cloud y acceder a la instancia vinculada a OpenAI.

La IA no realizó el ataque de manera autónoma ni “hackeó” OpenAI por sí sola. Ese matiz es importante. Los investigadores humanos definieron el objetivo, evaluaron las respuestas, probaron hipótesis y tomaron las decisiones operativas. Sin embargo, Claude habría servido como un acelerador muy potente para revisar código, entender el comportamiento de librerías, generar pruebas de concepto, adaptar instrucciones técnicas y acortar una investigación que antes podía requerir mucho más tiempo.

Ese es el punto realmente relevante. La IA puede actuar como multiplicador de capacidades para quien ya sabe qué buscar, pero también reduce algunas barreras de entrada para individuos con menos formación técnica, más tiempo disponible o intenciones claramente peligrosas.

El acceso a GitHub elevó la gravedad del caso

Tras explotar la vulnerabilidad asociada al procesamiento de imágenes, los investigadores alcanzaron cuentas de empleados de OpenAI. Desde una cuenta vinculada a Codex, lograron enviar un pull request como prueba de que tenían acceso al entorno corporativo de GitHub.

El equipo no llegó a abrir ni extraer el código interno almacenado en Monorepo. Aun así, el acceso era suficientemente serio. Ese repositorio contendría información crítica y secretos algorítmicos de OpenAI, de acuerdo con fuentes citadas en el reporte original.

En seguridad, no hace falta que un atacante descargue una base de datos o publique código confidencial para que exista un incidente importante. La mera obtención de una identidad válida dentro de un entorno de desarrollo corporativo puede abrir rutas hacia sistemas más sensibles, facilitar ataques posteriores, permitir la modificación de software o ayudar a mapear cómo funciona una empresa desde dentro.

También llama la atención la amplitud de la técnica. Los investigadores señalaron que el proyecto HEIF Heist podía ajustarse a otras compañías y tecnologías, entre ellas Slack, Meta, GitHub Enterprise, Rails, Next.js e ImageMagick. Según Hacktron, solo Shopify detectó el problema durante sus pruebas, un dato que refleja la dificultad de identificar ataques que aprovechan componentes compartidos y servicios de terceros.

Este tipo de incidentes sirve para recordar que la seguridad de una gran empresa no depende únicamente de sus propios servidores. Depende de proveedores, herramientas de colaboración, plataformas de comunidad, librerías de imágenes, sistemas de autenticación y de toda la cadena de software que conecta cada pieza.

La IA ya cambia las reglas de la ciberseguridad

El caso de OpenAI ilustra cómo la inteligencia artificial está alterando el ritmo de la ciberseguridad. Antes, investigar una vulnerabilidad compleja implicaba horas de lectura de documentación, revisión manual de código, pruebas repetitivas y búsqueda de errores en configuraciones específicas. Ahora, modelos avanzados pueden ayudar a resumir repositorios, explicar funciones, detectar patrones inseguros, proponer comandos y generar variantes de una prueba técnica en minutos.

Eso no significa que cualquier persona pueda derribar la infraestructura de una gran tecnológica simplemente escribiendo una petición en un chatbot. Los ataques reales todavía requieren conocimientos, paciencia, criterio, infraestructura y la capacidad de distinguir entre una sugerencia útil y una respuesta equivocada de la IA. Pero sí cambia la escala del problema. Un equipo pequeño puede investigar más objetivos, iterar más rápido y desarrollar ataques con una eficiencia que hace pocos años estaba reservada a organizaciones mucho más grandes.

Mohan Pedhapati, CTO de Hacktron, resumió esa inquietud al señalar que ellos eran “solo tres personas con suscripciones a Claude y Codex”, y que no se consideran tan capaces como actores estatales o grupos de amenaza más sofisticados. La implicación es evidente. Si un grupo reducido pudo demostrar esta cadena de acceso en cuestión de días, los equipos de seguridad deben asumir que organizaciones criminales y grupos respaldados por Estados también están explorando el uso de IA para ampliar sus operaciones.

OpenAI y Discourse corrigieron las vulnerabilidades reportadas, y OpenAI pagó $6,500 dólares a Hacktron como recompensa por el hallazgo. Es una resolución positiva desde la óptica de la divulgación responsable, aunque no elimina la lección principal.

La era de la IA no solo trae asistentes más capaces para programadores y usuarios. También trae una carrera de velocidad entre quienes encuentran fallos para protegerlos y quienes buscan convertirlos en ataques. La diferencia entre una prueba de concepto ética y una brecha real puede depender, cada vez más, de quién tenga mejores herramientas de IA y de cuánto tarde una empresa en detectar la amenaza.

Sigue leyendo:
• Por qué el director de Anthropic pide ralentizar el desarrollo de la inteligencia artificial
• Por qué hay preocupaciones de que la IA pueda amenazar a la humanidad y qué tan reales son
• Por qué el jefe de OpenAI pide que confiemos en la empresas de IA a pesar de que el mundo “tiene razón en sentir miedo”