OpenAI, ¡sorprendentemente fue «hackeado» por el modelo Claude!
Un equipo de seguridad de solo tres personas, utilizando Claude, logró acceder en menos de 72 horas a la cuenta de ChatGPT de un empleado de OpenAI y obtener acceso al repositorio privado de código interno de OpenAI.
Y lo que gastaron fue simplemente una suscripción de unos pocos dólares a Opus 5.
Este es otro caso épico de vulnerabilidad del sistema.
Usar la magia para derrotar la magia, es demasiado teatral
Esto, también, es demasiado negro.
Hace poco, un equipo de seguridad emergente llamado Hacktron AI participó en el programa de recompensas por vulnerabilidades de OpenAI.
El arma definitiva que utilizaron es Opus 5, recién lanzado por Anthropic.
Nadie esperaba que el éxito fuera tan fácil.
Este equipo de tres personas logró obtener el control de las cuentas de ChatGPT y Codex de un empleado interno de OpenAI utilizando Opus 5 sin ninguna protección.
Inmediatamente después, entraron con total impunidad en la zona más secreta de OpenAI: el repositorio monolítico interno que contiene los algoritmos principales y el código propietario.
Para demostrar que estuvieron allí, el equipo hizo algo provocativo.
Utilizaron la cuenta de Codex de un empleado de OpenAI para enviar un PR inofensivo en el repositorio interno de código.
Tras recibir el informe, el equipo de seguridad de OpenAI se puso de pie en frío y reparó urgentemente la vulnerabilidad en 14 horas, pagando una recompensa de 6,500 dólares al equipo de tres personas.
Al anunciarse la noticia, la industria se conmocionó: «¡Absurdo! ¡La sede de OpenAI fue allanada por un competidor!»
Alguien hizo una pregunta profunda: «Si tres personas comunes más una suscripción a Claude pueden lograr algo así, ¿qué podrían hacer los hackers del estado con IA?»
9 pasos para penetrar, un golpe mortal
Esta campaña relámpago de menos de 72 horas, la cadena de ataques del equipo fue llena de arte.
No dependieron de la fuerza bruta, sino que, como los cazadores más pacientes, avanzaron paso a paso desde un rincón más insignificante del perímetro hasta el núcleo.
La cadena completa de ataque puede descomponerse en los siguientes 9 eslabones mortales.
Buscar la talón de Aquiles (foro de la comunidad)
Las defensas de seguridad de OpenAI son inquebrantables; es casi imposible atacar directamente los servidores principales.
Pero el equipo de Hacktron encontró una brecha: el foro comunitario que OpenAI utiliza para la comunicación con los usuarios (community.openai.com).
Este foro está construido con software de código abierto Discourse y permite el inicio de sesión único (SSO) con cuenta de OpenAI.
La bomba de tiempo oculta (vulnerabilidad libheif)
Al analizar la función de carga de imágenes en el foro, descubrieron un defecto extremadamente poco común pero fatal.
Normalmente, el foro utiliza FastImage para verificar imágenes, pero no admite el formato HEIF/HEIC comúnmente utilizado por Apple. Por lo tanto, el sistema envía estas imágenes a ImageMagick para su procesamiento, que a su vez llama al decodificador de imágenes libheif subyacente.
Lo grave es que este sistema basado en la imagen de Debian 12 tiene instalada la versión libheif (1.19.7), que contiene una vulnerabilidad de desbordamiento de búfer de pila.
Burlarse de los sistemas de seguridad de la IA, forjar un arma divina
El equipo Hacktron no escribió manualmente el código de explotación, sino que utilizó Claude Opus 5.
Para eludir el sistema de seguridad de Opus 5 que rechaza escribir código de ataque para objetivos reales, jugaron un truco: disfrazaron su servidor de pruebas como el dominio de un objetivo de CTF (Capture the Flag) (rce.ee/ctf-forum).
Opus 5, que creía que estaba jugando un juego, comenzó a disparar a toda potencia.
Sube una "imagen tóxica" para tomar el control (RCE)
Subieron una imagen HEIF maliciosa cuidadosamente diseñada al foro. En el momento en que la imagen se analizó en segundo plano, se activó la vulnerabilidad de desbordamiento, y el equipo Hacktron logró obtener permisos de ejecución remota de código en el entorno del foro de la comunidad de OpenAI.
Defecto de autenticación fatal (SSO)
El hackeo del foro es solo el primer paso. Debido a una configuración defectuosa de autenticación en el SSO de OpenAI, los tokens de identidad de cualquier usuario que haya iniciado sesión en el foro podrían haber sido robados.
Comprometer cuentas internas de empleados de ChatGPT/Codex
A través de la vulnerabilidad de SSO mencionada, el equipo logró tomar el control de las cuentas de ChatGPT y Codex de varios empleados de OpenAI.
Seguir la pista hasta llegar al núcleo
Los empleados de OpenAI suelen integrar profundamente Codex con herramientas internas de oficina y desarrollo como GitHub, Slack y Outlook.
Acceder al repositorio de código interno
Utilizando cuentas de empleados comprometidas, el equipo Hacktron ingresó directamente y obtuvo acceso al repositorio principal de OpenAI.
Deja una marca, oculta tus logros y nombre
Enviar el PR #1186742, luego detener todas las pruebas y presentar el informe de vulnerabilidad a OpenAI.
De una imagen HEIC común a la biblioteca interna de secretos clave de OpenAI, esta ruta que parece increíble fue precisamente abierta por Opus 5.
Evolución asfixiante: de Opus 4.8 a Opus 5
Si la vulnerabilidad en sí era lo suficientemente sofisticada, la velocidad de evolución de la IA demostrada en este ataque aterrorizó a todos los profesionales de ciberseguridad.
Dos días antes del ataque, el 23 de julio de este año, el equipo Hacktron ya había descubierto esta vulnerabilidad.
En ese momento, utilizaban el modelo anterior de Anthropic, Claude Opus 4.8.
En un entorno de defensa predeterminado con ASLR activado, Opus 4.8 resulta algo difícil.
ASLR, o Address Space Layout Randomization, es un mecanismo de seguridad que mejora eficazmente la protección del sistema al aleatorizar las direcciones de las regiones de memoria clave durante la carga del proceso.
El equipo intentó múltiples sesiones, pero Opus 4.8 nunca pudo generar código de explotación estable.
El punto de inflexión ocurrió la noche del 24 de julio: Anthropic lanzó oficialmente Claude Opus 5.
El equipo Hacktron, con su nueva arma, inició inmediatamente una nueva sesión de Opus 5.
Sucedió un milagro: dentro de las primeras tres horas, Opus 5 logró escribir código de ataque para la arquitectura ARM64 de Mac local.
Luego, el equipo le pidió que portara el código al entorno x86-64 y al asignador de memoria jemalloc utilizados por el foro Discourse.
Solo unas horas después, a las 6:00 del 25 de julio, Opus 5 confirmó la viabilidad de RCE local mediante carga de imágenes.
A las 10:00, el agente Opus 5 configurado como objetivo de bucle autónomo había logrado comprometer la instancia en la nube y leer los archivos subyacentes del sistema.
Las vulnerabilidades que el modelo anterior no pudo encontrar, el nuevo modelo las descifró y aprovechó automáticamente al día siguiente.
Un hecho crudo es que el avance en las capacidades de los modelos de IA está reduciendo exponencialmente la barrera para los ataques de hackers.
En pruebas posteriores más amplias, el equipo incluso descubrió que, al utilizar el modelo GPT-5.6 Sol actualizado, la IA puede automatizar automáticamente servicios integrales como fugas de memoria, elevación de privilegios, movimiento lateral y eludir defensas existentes, incluso en condiciones extremas de ceguera donde no se conoce nada sobre el sistema objetivo, solo que existe una vulnerabilidad.
Esta capacidad, en el pasado, solo pertenecía a los mejores hackers nacionales.
El gran robo de HEIF: ¿Está todo Internet desnudo?
¿Crees que solo OpenAI tiene mala suerte? Error grave.
El equipo Hacktron bautizó este descubrimiento como "el gran robo de HEIF".
Lo aterrador de esta vulnerabilidad es que no es un problema exclusivo de OpenAI, sino una enfermedad de las dependencias de código abierto en la infraestructura de internet en su conjunto.
Cada día subimos imágenes a internet, y la biblioteca de código abierto libheif, utilizada para analizar imágenes HEIC/HEIF/AVIF, está ampliamente integrada en numerosas aplicaciones de nivel nacional.
Lo que es aún más increíble es que la corrección del código para esta vulnerabilidad ya se había implementado en una rama de la comunidad de código abierto el año pasado, pero como no se etiquetó como un parche de seguridad (no se asignó un número CVE), innumerables sistemas operativos y software aguas abajo ni siquiera se enteraron de esto.
En la investigación que siguió durante varios meses, el equipo Hacktron utilizó la IA como hacker automatizado para llevar a cabo una «limpieza» de las grandes empresas de internet.
Descubrieron: Slack, Zoom, Meta, GitHub... ¡estas famosas gigantes tecnológicas que aceptan carga de imágenes casi todas resultaron comprometidas!
Ya sea Ruby on Rails o frameworks populares como Next.js, Astro, Gatsby en el ecosistema de Node.js, siempre que se llame a esta biblioteca, casi se puede manipular libremente.
The cost is even more astonishingly low.
El equipo de Hacktron indicó que todo el proyecto de investigación «El Gran Robo de HEIF» llevó dos meses y cubrió a todos los gigantes mencionados. ¡El costo total en tokens del modelo grande fue inferior a 3000 dólares!
Para cada empresa tecnológica diferente, la IA solo necesita uno o dos días para adaptar automáticamente las "imágenes tóxicas" en armas de ataque personalizadas según el entorno de la empresa objetivo.
Después de enviar miles de imágenes de prueba, se provocó el colapso repetido de los procesadores de imágenes de varias empresas; solo Shopify detectó la anomalía, ¡y todos los demás gigantes de internet no se dieron cuenta en absoluto!
Esta es la esencia de la vulnerabilidad de la internet moderna: como satirizó la famosa viñeta de xkcd, toda la infraestructura digital moderna descansa inestablemente sobre una pequeña biblioteca de código abierto, mantenida por un programador desconocido y llena de vulnerabilidades.
Cambio de paradigma de seguridad: Fin de la era de la confidencialidad por complejidad
Luego, informaron sobre la vulnerabilidad a Discourse y OpenAI.
Aproximadamente 14 horas después de la primera presentación del informe, OpenAI solucionó el problema de inicio de sesión único (SSO). Discourse también completó la reparación.
El informe de vulnerabilidad con una recompensa de solo 6,500 dólares (aproximadamente menos de 50,000 yuanes chinos) se convertirá en un punto de inflexión en la historia de la ciberseguridad.
Durante mucho tiempo, la industria del software ha disfrutado de un paraguas protector invisible: la «seguridad por complejidad».
En el pasado, incluso si se hacía pública una vulnerabilidad en un repositorio de código abierto y el código fuente estaba directamente disponible, los hackers comunes no podían aprovecharla.
Para convertir una vulnerabilidad de daño de memoria teórica en un «arma» real capaz de comprometer un servidor, se requieren conocimientos extremadamente raros, una gran inversión de tiempo y un profundo ingeniería inversa del entorno objetivo.
En el pasado, este tipo de arma de vulnerabilidad de nivel superior, conocida como 0-Day, tenía un costo de desarrollo extremadamente alto, y generalmente solo las fuerzas de hackers estatales invertían esfuerzo en ellas para atacar objetivos de alto valor. Las empresas comunes podían obtener seguridad gracias a esta barrera de costo de ataque.
Pero la IA desgarró directamente este paraguas protector.
Hacktron escribió al final del informe:
La IA está eliminando esta protección, convirtiendo el conocimiento especializado de los hackers, que antes era escaso, en capacidad de cómputo económica. Las operaciones de ataque que antes requerían que un equipo bien financiado dedicara meses ahora se han reducido a solo unos pocos días, e incluso algunas horas.
Hoy en día, cualquier equipo de tres personas que posea IA avanzada sin restricciones puede generar una capacidad de penetración de seguridad comparable a la de un equipo nacional.
Si tu empresa aún confía en que "los hackers nos ignoran" como defensa, tú podrías ser el próximo en tener comprometida tu base de código principal.
Este artículo proviene del canal de WeChat "Nueva Inteligencia" (ID: AI_era), autor: Apocalipsis ASI