El equipo de la firma de ciberseguridad Hacktron AI, formado por Harsh Jaiswal, Mohan Pedhapati y Rahul Maini, encadenó dos vulnerabilidades distintas para llegar hasta repositorios internos de OpenAI, incluidos accesos vinculados a GitHub, Outlook y Slack de la compañía. Todo el proceso ocurrió dentro del programa oficial de recompensas por errores (bug bounty) de OpenAI, gestionado a través de Bugcrowd, y el equipo gastó menos de 3.000 dólares en tokens de inteligencia artificial durante toda la investigación, según The Register.
Cómo empezó todo: una imagen que rompió el análisis
El punto de partida fue una vulnerabilidad de desbordamiento de memoria (identificada después como CVE-2026-32882) en libheif, la biblioteca que procesa imágenes en formato HEIC y HEIF, presente en la versión del software Discourse que aloja el foro comunitario de OpenAI. El fallo permitía que una imagen especialmente manipulada hiciera que la aplicación calculara mal el tamaño de un búfer de memoria, abriendo una vía de ejecución remota de código en el servidor del foro.
El salto que cambió todo: de un foro a las cuentas de empleados
Una vez dentro del servidor del foro, los investigadores encontraron una segunda falla, esta vez en la configuración del sistema de inicio de sesión único (SSO) de OpenAI: las mismas credenciales que autenticaban a los usuarios del foro también daban acceso a sus cuentas de ChatGPT y Codex. Eso les permitió tomar el control de la cuenta de un empleado de OpenAI sin que esa persona tuviera que hacer nada. Según explicaron los propios investigadores, el problema de fondo no era exclusivo de Discourse: cualquier servicio, propio o de terceros, que usara ese mismo sistema de identidad de OpenAI habría quedado expuesto de la misma manera.
El modelo que sí pudo
El dato más llamativo de todo el episodio tiene que ver con el momento exacto en que ocurrió. Los investigadores venían intentando convertir la vulnerabilidad de libheif en un exploit funcional usando Claude Opus 4.8, sin éxito durante varias sesiones. Recién cuando Anthropic lanzó Claude Opus 5, al día siguiente, lograron que el modelo generara un código de explotación que sí funcionaba, algo que atribuyeron a una capacidad sensiblemente mejor del nuevo modelo para razonar sobre el comportamiento de la memoria bajo condiciones reales de explotación.
La prueba sin cruzar la línea
Con el acceso ya logrado a la cuenta de Codex de un empleado, el equipo envió una solicitud de extracción (pull request) hacia el repositorio de código privado de OpenAI, agregando apenas un texto identificatorio y enlaces a sus propias cuentas de la red social X, como prueba de que habían llegado hasta ahí. Los investigadores remarcaron que detuvieron ahí la investigación de forma deliberada, sin acceder a información sensible de la compañía, y reportaron los hallazgos de inmediato en lugar de seguir explorando el acceso obtenido.
Qué hizo OpenAI
OpenAI confirmó una solución apenas 14 horas después de recibir el reporte, restringió los permisos de los tokens de inicio de sesión de su comunidad y revocó las sesiones afectadas. El 1 de septiembre, la compañía pagó una recompensa de 6.500 dólares al equipo, aunque aclaró un matiz importante: el monto reconocía específicamente el hallazgo sobre su propia infraestructura de identidad, ya que las pruebas directas contra el foro alojado en Discourse quedaban fuera del alcance formal de su programa de recompensas, según The Hacker News.
La lección de fondo
Más allá del caso puntual, el episodio funciona como una señal de alerta para toda la industria de la ciberseguridad. Los propios investigadores remarcaron que el ataque completo demandó apenas unos días de trabajo de un agente de IA y unas pocas horas de intervención humana directa, y advirtieron que, a medida que cada nueva generación de modelos se vuelve más capaz de razonar sobre vulnerabilidades técnicas complejas, las suposiciones de seguridad de cualquier empresa necesitan actualizarse al mismo ritmo que las capacidades de quienes podrían intentar explotarlas.
