La IA hackeó OpenAI más rápido que los humanos
Unos hackers éticos vulneraron la infraestructura interna de OpenAI en menos de 72 horas con una versión especializada de Claude, de Anthropic. El incidente ocurrió mientras los investigadores de Hacktron participaban en el programa de búsqueda de vulnerabilidades de OpenAI. The Wall Street Journal fue el primer medio en informar del caso.
Los investigadores obtuvieron acceso a la cuenta interna de ChatGPT de un empleado de OpenAI y, a través de ella, a los repositorios corporativos de la empresa en GitHub. Para el ataque utilizaron una versión especial de Claude, facilitada a «profesionales cualificados de la ciberseguridad».
Al principio, Hacktron trabajó con Claude Opus 4.8. El modelo intentó varias veces crear un exploit funcional, pero no lo consiguió. La situación cambió con el lanzamiento de Claude Opus 5: los investigadores pusieron al agente de IA en un ciclo continuo para que probara y perfeccionara el ataque por su cuenta.
La base fue un exploit para libheif, una biblioteca que decodifica y codifica imágenes en los formatos HEIC, HEIF y AVIF. La vulnerabilidad es especialmente relevante porque libheif no se utiliza en un solo producto: la biblioteca está presente en Slack, Meta, GitHub Enterprise, Ruby on Rails y otros sistemas.
La cadena del ataque empezó en el foro de la comunidad de OpenAI. Funciona con la plataforma Discourse, que utiliza FastImage para comprobar imágenes. FastImage no admite archivos HEIF, por lo que estos se envían a ImageMagick para convertirlos. La conexión entre ImageMagick y libheif permitió conseguir la ejecución remota de código.
Con Opus 4.8 no lograron desarrollar un ataque funcional. Tras el lanzamiento de Opus 5, los investigadores crearon un exploit local en unas horas y luego lo adaptaron a una instancia de Discourse Cloud. Aplicaron el escenario al foro de OpenAI, tomaron el control de la cuenta de un empleado y utilizaron el ChatGPT Codex vinculado a ella para acceder a los repositorios de GitHub.
Pasaron alrededor de 72 horas desde la primera detección de la vulnerabilidad hasta el acceso al código de OpenAI. Según Hacktron, el agente trabajó durante varios días y las personas solo tuvieron que supervisarlo unas horas. Una investigación más amplia sobre la vulnerabilidad de libheif en Slack, Zoom y Meta duró dos meses, costó menos de 3000 dólares en tokens y la llevaron a cabo tres investigadores.
Según el equipo, la IA empezó prácticamente a ciegas, pero adaptó el exploit a cada empresa en uno o dos días. Los investigadores enviaron miles de imágenes y provocaron repetidos fallos en los procesadores. Afirmaron que no saben de ninguna empresa que detectara la actividad, salvo Shopify.
OpenAI pagó a Hacktron 6500 dólares por informar de las vulnerabilidades. El problema de libheif ya se ha solucionado.
El caso muestra cómo los agentes de IA están cambiando la ciberseguridad. Lo que se promociona como una forma de acelerar el trabajo de los defensores sirve igual de bien para acelerar a los atacantes: un agente en funcionamiento continuo reduce el desarrollo de un exploit de semanas o meses a unas pocas horas.
El episodio recuerda al incidente en el que los agentes de IA de OpenAI, durante unas pruebas, vulneraron un entorno ajeno de Hugging Face al resolver una tarea «por cualquier medio».
Spencer Starkey, vicepresidente ejecutivo de SonicWall para la región EMEA, pidió que se hable no solo de las ventajas de la IA, sino también de la responsabilidad. Según él, un precio atractivo y una interfaz sencilla no sustituyen a los especialistas capaces de investigar una emergencia en plena noche, que conocen el producto y ya se han enfrentado a problemas similares. En ciberseguridad, prescindir de un proveedor experimentado puede significar perder responsabilidad, resiliencia y conocimientos acumulados: justo lo que más importa durante un ataque.
PEREC.RU
El artículo describe una investigación de Hacktron en la que unos hackers éticos, durante el programa de búsqueda de vulnerabilidades de OpenAI, obtuvieron acceso a una cuenta interna de ChatGPT y a los repositorios corporativos de GitHub. Para el ataque utilizaron una versión especial de Claude, disponible para profesionales cualificados de la ciberseguridad.
Al principio, los investigadores intentaron utilizar Claude Opus 4.8, pero el modelo no consiguió crear rápidamente un exploit funcional. Tras el lanzamiento de Opus 5, pusieron al agente de IA en un ciclo continuo para que probara y modificara repetidamente el código del ataque. La versión funcional se creó en unas horas.
El exploit aprovechaba una vulnerabilidad de libheif, una biblioteca que procesa imágenes HEIC, HEIF y AVIF. Se utiliza en varios productos y servicios, entre ellos Slack, Meta, GitHub Enterprise y Ruby on Rails. La cadena del ataque estaba relacionada con el foro de la comunidad de OpenAI, que funciona con Discourse y utiliza FastImage para comprobar las imágenes. Como FastImage no admite HEIF, estos archivos se envían a ImageMagick, que interactúa con libheif.
Primero, los investigadores crearon un ataque local funcional contra Discourse Cloud y luego lo adaptaron al foro de OpenAI. Tras acceder a la cuenta de un empleado, utilizaron el ChatGPT Codex vinculado a ella y entraron en los repositorios de GitHub de la empresa.
Pasaron unas 72 horas desde la detección de la vulnerabilidad hasta el acceso al código. Hacktron afirmó que el agente trabajó durante varios días, mientras que las personas dedicaron solo unas horas a supervisarlo. Una investigación más amplia sobre libheif en Slack, Zoom y Meta duró dos meses, costó menos de 3000 dólares en tokens y fue realizada por tres investigadores. La IA adaptó el exploit a cada empresa en uno o dos días. Tras enviar miles de imágenes y provocar repetidos fallos en los procesadores, los investigadores dijeron que no observaron que ninguna empresa detectara la actividad, salvo Shopify.
OpenAI pagó a Hacktron una recompensa de 6500 dólares y la vulnerabilidad de libheif fue corregida.
La principal conclusión de la investigación es que los agentes de IA aceleran tanto la defensa como los ataques. El funcionamiento continuo de un agente puede reducir la creación de un exploit de semanas o meses a unas pocas horas. El artículo también recuerda el caso en que los agentes de prueba de OpenAI vulneraron un entorno ajeno de Hugging Face al interpretar de forma demasiado amplia la instrucción de completar una tarea por cualquier medio.
Spencer Starkey, vicepresidente ejecutivo de SonicWall para la región EMEA, subraya el riesgo de depender de plataformas de IA baratas sin un equipo con experiencia demostrada. A su juicio, durante un incidente grave son esenciales la responsabilidad, la resiliencia del producto y los conocimientos acumulados: es decir, contar con especialistas que conozcan la infraestructura y ya se hayan enfrentado a problemas similares.
