Un cómic predijo el hackeo de OpenAI

El popular webcómic xkcd, publicado en 2020, resultó parecerse inesperadamente a un guion del hackeo de la infraestructura de OpenAI. Se trata del número 2347, en el que el mundo digital moderno aparece como una estructura sostenida por un elemento crítico que, casi sin que nadie lo note, mantiene en pie un especialista cualquiera de Nebraska.

El equipo de investigación de Hacktron AI aludió al cómic tras publicar los resultados de varios meses de estudio de libheif, una biblioteca para decodificar imágenes en formato HEIF. La broma macabra se completa con el texto oculto del cómic: al pasar el cursor sobre el original, aparece un mensaje que dice que algún día ImageMagick se romperá del todo y la humanidad tendrá que reconstruir la civilización a partir de sus escombros.

Seis años después, ImageMagick formó parte de la cadena por la que pasó un ataque al foro de OpenAI. No fue una predicción directa, pero la coincidencia es lo bastante llamativa como para que hasta un escéptico aparte el café por un momento.

Hacktron descubrió que el foro community.openai.com funciona con la plataforma Discourse. Su herramienta estándar de comprobación de imágenes, FastImage, no admite HEIF y pasa esos archivos al programa ImageMagick, concretamente al comando magick. Este, a su vez, recurre a libheif, que utiliza un decodificador para analizar el contenido de la imagen.

La versión de libheif instalada en el foro a través de Debian contenía un error de tipo heap buffer overflow: un desbordamiento del búfer en memoria dinámica. El problema se había corregido un año antes, pero entonces no se identificó como una posible amenaza para la seguridad. Como resultado, el componente vulnerable siguió siendo una puerta de entrada muy cómoda.

Los investigadores combinaron varios exploits y llegaron a un segundo problema: una configuración incorrecta del SSO, o sistema de inicio de sesión único. Por ese fallo, el foro podía convertirse en una especie de pasarela a las cuentas de ChatGPT y Codex: un usuario con una cuenta de la comunidad que iniciara sesión a través del foro podía obtener potencialmente acceso también a esos servicios.

El equipo entró en el GitHub interno de OpenAI y creó allí una pull request inofensiva como prueba del hackeo. Tras recibir el aviso, OpenAI solucionó el problema en 14 horas y pagó 6.500 dólares en el marco de su programa bug bounty, que recompensa el hallazgo de vulnerabilidades. Discourse también publicó una corrección, puntuó el fallo principal de las imágenes con un 8,8 en la escala CVSS y añadió el aislamiento del procesamiento de imágenes como medida de protección adicional.

El riesgo no se limita a OpenAI. Los mismos decodificadores libheif y libde265 llegan a sistemas en producción a través de ImageMagick, libvips, Sharp, los paquetes estándar de los sistemas operativos y los contenedores ya preparados. Hacktron detectó su uso en Slack, Meta, GitHub Enterprise, Ruby on Rails y los marcos de JavaScript Next.js, Astro y Gatsby. Por tanto, las consecuencias de dejar vulnerabilidades sin corregir pueden afectar a muchos más servicios que el foro de una sola empresa tecnológica.

En la investigación participaron tres personas. Primero utilizaron Claude Opus 4.8, de Anthropic, y luego pasaron a Opus 5. Gastaron menos de 3.000 dólares en tokens y prepararon el exploit en unos dos meses. Para que el modelo colaborara, los investigadores presentaron su propio foro de pruebas como un ejercicio tipo capture the flag, una competición para buscar y explotar vulnerabilidades. Con ese envoltorio, la IA aceptó participar.

El ataque se habría podido llevar a cabo sin inteligencia artificial. Sin embargo, la IA permitió que un equipo pequeño trabajara a una velocidad que suele asociarse con grupos de especialistas mucho más grandes. La conclusión, incómodamente práctica, es esta: a veces basta con pedirlo educadamente a un chatbot, añadir un poco de astucia y la puerta digital que se creía un muro empieza a abrirse.