Hackearon cuentas de OpenAI con ayuda de Claude y accedieron a su repositorio privado

OpenAI corrigió el problema de su sistema de identidad unas 14 horas después de recibir el informe. La compañía también revocó las sesiones afectadas y pagó una recompensa de u$s6500 por el descubrimiento.

Cómo fue el ataque a las cuentas en ChatGPT y Codex

Después de tomar la cuenta de un empleado que tenía Codex conectado con el GitHub corporativo, el equipo de Hacktron AI le ordenaron al asistente de IA que abriera una propuesta de cambio en el repositorio interno openai/openai. Esa acción demostró que podían modificar un archivo del repositorio.

La empresa de ciberseguridad aseguró que detuvo la prueba sin examinar el código fuente de la empresa. La revisión posterior de OpenAI registró lecturas limitadas de metadatos y commits, los registros que almacenan los cambios realizados en un proyecto de software.

El punto de partida del hackeo fue community.openai.com, el foro oficial de OpenAI, que funciona sobre la plataforma Discourse. El sitio acepta fotografías en formatos HEIC y HEIF, habituales en celulares y otros dispositivos. Para leer y transformar esos archivos, el servidor usaba ImageMagick, un programa de procesamiento de imágenes que a su vez dependía de una biblioteca de software llamada libheif.

Los investigadores le pidieron a Claude Opus 4.8 que revisara la versión de libheif instalada en el servidor y el modelo detectó la ausencia de varias correcciones de seguridad que ya formaban parte del proyecto original.

Esa falla podía provocar un desbordamiento de memoria durante el procesamiento de una imagen manipulada y permitía alcanzar la ejecución remota de código: un atacante podía enviar un archivo preparado para lograr que el servidor ejecutara instrucciones ajenas. Y así lo hicieron, le pidieron a Claude que desarrollara una herramienta capaz de ejecutar ese ataque.

Por otro lado, el foro ofrecía la opción Iniciar sesión con OpenAI para que los usuarios pudieran utilizar la misma cuenta que tenían en ChatGPT. Cada acceso generaba una credencial digital, conocida como token, que funcionaba como una llave para reconocer al usuario sin compartir su contraseña.

Esas credenciales tenían más permisos de los necesarios. Además de habilitar el ingreso al foro, permitían acceder a las cuentas asociadas de ChatGPT y Codex. Por ese motivo, el control del servidor de Discourse abrió una vía hacia los perfiles de quienes habían usado el inicio de sesión de OpenAI. Así llegaron a la cuenta del empleado: su perfil tenía Codex conectado con el GitHub corporativo, una combinación que permitió realizar la prueba en el repositorio privado.