Un grupo de investigadores de ciberseguridad independiente ha conseguido acceder al sistema de código interno de OpenAI utilizando la inteligencia artificial (IA) Claude de Anthropic, con lo que han expuesto vulnerabilidades que comprometen los repositorios internos de la compañía.
Los investigadores de seguridad artífices de este 'hackeo' a OpenAI pertenecen al grupo Hacktron AI, que se dedica a buscar vulnerabilidades. Concretamente, en una de sus investigaciones, consiguieron acceder a la cuenta de ChatGPT de un empleado de la compañía dirigida por Sam Altman. Esto les permitió leer y sugerir cambios en la memoria caché privada de 'software' de OpenAI.
Esta investigación formaba parte de un programa de búsqueda de vulnerabilidades de OpenAI, por lo que, una vez descubiertos los fallos, Hacktron AI alertó a la tecnológica de sus resultados y esta les recompensó con 6.500 dólares (alrededor de 5.658 euros al cambio), como ha recogido The Wall Street Journal.
Así, según han compartido los propios investigadores en un comunicado en su blog, han descubierto dos vulnerabilidades y lo han hecho ayudándose de los modelos más avanzados de IA de Claude, desarrollados la compañía competidora de OpenAI, Anthropic.
Por un lado, han hallado un fallo de ejecución remota de código (RCE) en el servicio de terceros que aloja el foro de discusión de OpenAI, llamado Discourse. Por otro, un error en los propios sistemas de la compañía, que se basa en una configuración incorrecta del sistema de autenticación SSO en la infraestructura de identidad de OpenAI.
MODUS OPERANDI
Todo comenzó cuando el 23 de julio los investigadores identificaron un error en el proceso de carga de algunos formatos de imágenes en Discourse y emplearon una versión avanzada para investigadores de Claude Opus 4.8 para inspeccionar el fallo. Tras ello, detectaron que algunas correcciones de seguridad específicas no se habían incorporado correctamente, provocando "un desbordamiento de búfer en el montón".
Una vez identificado esta vulnerabilidad, solicitaron a Claude Opus 4.8 que desarrollara un código que permitiese explotar el fallo, aunque sin éxito. Fue con Claude Opus 5, lanzado en esas mismas fechas, que los investigadores consiguieron crear una forma de explotar el error en un ciberataque.
Desde Hacktron AI utilizaron el código desarrollado por Opus 5 para explotar la vulnerabilidad, consiguiendo acceder a un servidor de Discourse que alojaba los foros de OpenAI y, con ello, obtener tokens de autenticación.
Mediante los tokens obtenidos, que también eran los utilizados en las cuentas de ChatGPT, los investigadores se apoderaron de una cuenta de un empleado de OpenAI, cuyo Codex estaba conectado a la organización de OpenAI en GitHub.
Es aquí donde surge la segunda vulnerabilidad, aprovechando este acceso, enviaron una solicitud a la cuenta de Codex del empleado para que abriera una solicitud de extracción (pull request, en inglés) en el monorepo interno de la compañía. Esto es, el repositorio de código privado de OpenAI, donde la compañía concentra sus proyectos, servicios y el desarrollo de sus modelos de IA.
Por tanto, los investigadores consiguieron acceder al código interno de OpenAI y, a través de ChatGPT, leer los archivos internos en el monorepo. Sin embargo, aseguran que detuvieron sus pruebas para no acceder a información sensible de la compañía.
No obstante, para demostrar su acceso, la solicitud de 'pull request' se basó en añadir el texto 'Hacktron AI Team PoC' dentro del repositorio, así como enlazar a las cuentas de la red social X de algunos de los investigadores, como Harsh Jaiswal.
RIESGOS DE LAS VULNERABILIDADES
Con todo, los investigadores han recalcado que la vulnerabilidad "no es exclusiva de Discourse", sino que se trata de un problema que puede afectar a cualquier servicio de OpenAI que utilice OpenAI SSO. "Ya sea propio o de terceros, si se viera comprometido, se produciría el mismo acceso. Discourse fue simplemente una forma de comprobarlo", han sentenciado.
Como resultado de todo ello, en declaraciones al medio citado, OpenAI ha compartido sus agradecimientos a los investigadores por compartir sus hallazgos, al tiempo que han asegurado que los fallos han sido solucionados. "Restringimos los permisos de los tokens de inicio de sesión de Community y revocamos los tokens y las sesiones afectadas", han explicado.
Discourse, por su parte, también solucionó la vulnerabilidad hallada, apenas dos días después de recibir el informe de Hacktron AI.
Los investigadores han matizado que únicamente han necesitado una suscripción a Claude y Codex para llevar a cabo esta investigación, lo que pone de manifiesto el riesgo de que equipos con capacidades más avanzadas puedan acceder a estos sistemas y manipularlos.
"El ataque a Discurse y OpenAI requirió solo unos días por parte de un agente y apenas unas horas de trabajo humano", han matizado, al tiempo que han subrayado que "cada nuevo modelo es cada vez más capaz" y que las suposiciones de seguridad "deben actualizarse para estar a la altura de las capacidades de los atacantes".
