Hackearon cuentas de OpenAI con ayuda de Claude y accedieron a su repositorio privado

El mismo mes en que un agente de inteligencia artificial de OpenAI atacó a la empresa Hugging Face por su propia cuenta, tres investigadores de ciberseguridad identificaron dos fallas en los sistemas de la empresa de Sam Altman y hackearon cuentas de empleados en ChatGPT y Codex y accedieron al repositorio privado de la compañía.

Una vulnerabilidad en el sistema que procesaba las imágenes subidas al foro permitió ejecutar instrucciones en el servidor y un error en los permisos del inicio de sesión extendió ese acceso a las cuentas vinculadas con el servicio. De esta forma, el equipo de Hacktron AI compuesto por Harsh Jaiswal, Mohan Pedhapati y Rahul Maini lograron hackear las cuentas, con ayuda de Claude de Anthropic, entre el 23 y el 25 de julio.

OpenAI corrigió el problema de su sistema de identidad unas 14 horas después de recibir el informe. La compañía también revocó las sesiones afectadas y pagó una recompensa de u$s6500 por el descubrimiento.

Sam Altman, el dueño de OpenAI, también adelantó que la nueva actualización de ChatGPT tendrá personalidades únicas en función a cada usuario.

Cómo fue el ataque a las cuentas en ChatGPT y Codex

Después de tomar la cuenta de un empleado que tenía Codex conectado con el GitHub corporativo, el equipo de Hacktron AI le ordenaron al asistente de IA que abriera una propuesta de cambio en el repositorio interno openai/openai. Esa acción demostró que podían modificar un archivo del repositorio.

La empresa de ciberseguridad aseguró que detuvo la prueba sin examinar el código fuente de la empresa. La revisión posterior de OpenAI registró lecturas limitadas de metadatos y commits, los registros que almacenan los cambios realizados en un proyecto de software.

El punto de partida del hackeo fue community.openai.com, el foro oficial de OpenAI, que funciona sobre la plataforma Discourse. El sitio acepta fotografías en formatos HEIC y HEIF, habituales en celulares y otros dispositivos. Para leer y transformar esos archivos, el servidor usaba ImageMagick, un programa de procesamiento de imágenes que a su vez dependía de una biblioteca de software llamada libheif.

Codex, la versión de ChatGPT pensada para ser usada por programadores.

Los investigadores le pidieron a Claude Opus 4.8 que revisara la versión de libheif instalada en el servidor y el modelo detectó la ausencia de varias correcciones de seguridad que ya formaban parte del proyecto original.

Esa falla podía provocar un desbordamiento de memoria durante el procesamiento de una imagen manipulada y permitía alcanzar la ejecución remota de código: un atacante podía enviar un archivo preparado para lograr que el servidor ejecutara instrucciones ajenas. Y así lo hicieron, le pidieron a Claude que desarrollara una herramienta capaz de ejecutar ese ataque.

Por otro lado, el foro ofrecía la opción Iniciar sesión con OpenAI para que los usuarios pudieran utilizar la misma cuenta que tenían en ChatGPT. Cada acceso generaba una credencial digital, conocida como token, que funcionaba como una llave para reconocer al usuario sin compartir su contraseña.

Esas credenciales tenían más permisos de los necesarios. Además de habilitar el ingreso al foro, permitían acceder a las cuentas asociadas de ChatGPT y Codex. Por ese motivo, el control del servidor de Discourse abrió una vía hacia los perfiles de quienes habían usado el inicio de sesión de OpenAI. Así llegaron a la cuenta del empleado: su perfil tenía Codex conectado con el GitHub corporativo, una combinación que permitió realizar la prueba en el repositorio privado.