Tres investigadores de ciberseguridad usaron Claude, la inteligencia artificial de Anthropic, para vulnerar el foro de OpenAI, tomar el control de cuentas de empleados en ChatGPT y Codex y acceder al repositorio privado de la compañía.
La brecha fue posible por una cadena de dos fallos. Una vulnerabilidad en el sistema que procesaba las imágenes subidas al foro permitió ejecutar instrucciones en el servidor. Luego, un error en los permisos del inicio de sesión extendió ese acceso a las cuentas vinculadas con el servicio.
El episodio fue dado a conocer esta semana, pero el equipo de Hacktron AI, integrado por Harsh Jaiswal, Mohan Pedhapati y Rahul Maini, había realizado la investigación entre el 23 y el 25 de julio de 2026.
Cómo fue el ataque con IA
Después de tomar la cuenta de un empleado que tenía Codex conectado con el GitHub corporativo, los especialistas le ordenaron al asistente de IA que abriera una propuesta de cambio en el repositorio interno openai/openai. Esa acción demostró que podían modificar un archivo del repositorio.
Hacktron aseguró que detuvo la prueba sin examinar el código fuente de la empresa. La revisión posterior de OpenAI registró lecturas limitadas de metadatos y commits, los registros que almacenan los cambios realizados en un proyecto de software.
OpenAI corrigió el problema de su sistema de identidad unas 14 horas después de recibir el informe. La compañía también revocó las sesiones afectadas y pagó una recompensa de 6500 dólares por el descubrimiento.
Una imagen permitió vulnerar el foro de OpenAI
El punto de partida fue community.openai.com , el foro oficial de OpenAI, que funciona sobre la plataforma Discourse. El sitio acepta fotografías en formatos HEIC y HEIF, habituales en celulares y otros dispositivos. Para leer y transformar esos archivos, el servidor usaba ImageMagick, un programa de procesamiento de imágenes que a su vez dependía de una biblioteca de software llamada libheif.
Los investigadores le pidieron a Claude Opus 4.8 que revisara la versión de libheif instalada en el servidor. El modelo detectó la ausencia de varias correcciones de seguridad que ya formaban parte del proyecto original.
Esa falla podía provocar un desbordamiento de memoria durante el procesamiento de una imagen manipulada y permitía alcanzar la ejecución remota de código: un atacante podía enviar un archivo preparado para lograr que el servidor ejecutara instrucciones ajenas.
Para comprobar si podían aprovechar la vulnerabilidad en la práctica, los investigadores le pidieron a Claude que desarrollara una herramienta capaz de ejecutar ese ataque. Opus 4.8 creó una primera versión cuyo funcionamiento quedó limitado a un entorno de prueba.
En ese entonces, Anthropic anunció el lanzamiento de Claude Opus 5. Hacktron le presentó el mismo problema y, según su informe, en unas tres horas el modelo desarrolló una versión funcional que luego fue adaptada al sistema utilizado por Discourse.
El equipo probó la herramienta en una instalación propia de la plataforma. Después la utilizó para enviar una imagen manipulada al foro de OpenAI y consiguió acceder al servidor.
El segundo fallo estaba en los permisos de acceso
El foro ofrecía la opción Iniciar sesión con OpenAI para que los usuarios pudieran utilizar la misma cuenta que tenían en ChatGPT. Cada acceso generaba una credencial digital, conocida como token, que funcionaba como una llave para reconocer al usuario sin compartir su contraseña.
Esas credenciales tenían más permisos de los necesarios. Además de habilitar el ingreso al foro, permitían acceder a las cuentas asociadas de ChatGPT y Codex. Por ese motivo, el control del servidor de Discourse abrió una vía hacia los perfiles de quienes habían usado el inicio de sesión de OpenAI.
Así llegaron a la cuenta del empleado: su perfil tenía Codex conectado con el GitHub corporativo, una combinación que permitió realizar la prueba en el repositorio privado.
Luego del incidente, Discourse recibió un informe separado sobre la falla de las imágenes, preparó una corrección dos días después y aisló el sistema encargado de procesar los archivos.
El alcance potencial incluía otros servicios conectados con las cuentas, como Slack y el correo electrónico. OpenAI indicó que los investigadores no comprobaron el acceso a mensajes de sus empleados en esas plataformas.
Para Hacktron, la velocidad fue uno de los datos centrales del caso. La investigación demandó unos días de actividad de los modelos y pocas horas de trabajo humano. El equipo aclaró que Claude necesitó la orientación de especialistas y advirtió que las defensas de seguridad deberán adaptarse al avance de estas herramientas.
