### La Brecha de Seguridad en OpenAI: Un Análisis Detallado
La ciberseguridad es un tema de creciente relevancia en un mundo cada vez más digital. Con la proliferación de servicios en línea y el aumento de las amenazas cibernéticas, la protección de la información sensible se ha convertido en una prioridad tanto para empresas como para usuarios individuales. Un reciente incidente de seguridad que involucra a OpenAI, la conocida empresa detrás de ChatGPT, resalta la vulnerabilidad de los sistemas modernos y la importancia de una vigilancia continua en la defensa contra el hacking. Este caso no solo afecta a OpenAI y a sus empleados, sino que plantea interrogantes sobre la seguridad de las plataformas que utilizan sistemas de inicio de sesión únicos (SSO) y la cadena de confianza que se establece entre diferentes servicios.
Un equipo de tres investigadores de la firma de seguridad Hacktron utilizó el modelo de inteligencia artificial Claude Opus 5 de Anthropic para encadenar dos vulnerabilidades y tomar el control de las cuentas de ChatGPT y Codex de varios empleados de OpenAI. Este acceso no autorizado les permitió llegar a un repositorio de código interno de OpenAI. La cadena de explotación comenzó con un error en el software que gestiona el foro público de ayuda de OpenAI y avanzó a través de una debilidad en el propio sistema de inicio de sesión de la empresa.
Es importante señalar que este experimento fue una investigación de seguridad y no un ataque real. El equipo informó las vulnerabilidades a OpenAI, demostró su acceso mediante una solicitud de extracción inofensiva y se detuvo ahí. En total, el acceso interno fue logrado en menos de 72 horas. OpenAI confirmó la solución de la vulnerabilidad aproximadamente 14 horas después del informe y, el 1 de septiembre, recompensó al equipo con un bono de 6,500 dólares. Según OpenAI, el premio "reconoce el hallazgo del lado de OpenAI, no las acciones contra Discourse", el software de código abierto que opera el foro. La prueba del foro en sí estaba fuera del programa de recompensas por errores de la empresa.
OpenAI no ha proporcionado una descripción pública de la vulnerabilidad en el sistema de inicio de sesión, y confirmó el hallazgo a través de la solución y el pago en lugar de detallar las tomas de control de cuentas. Hacktron se ha descrito a sí misma como una empresa de investigación de seguridad asistida por inteligencia artificial, y actuó con cautela en sus acciones. Cuando se abrió un enlace de Codex de un empleado a OpenAI en GitHub, se activó una única solicitud de extracción en el repositorio interno, pero no se leyó ningún código fuente, no se fusionó ni se envió nada, ni se accedió a datos de clientes.
El potencial de explotación de esta cadena era considerablemente mayor. Dado que el personal conecta otros servicios a ChatGPT y Codex, el equipo afirmó que el mismo acceso podría, teóricamente, haberse extendido a herramientas como GitHub, Slack y correo electrónico. Este alcance más amplio fue posible, pero no se utilizó.
La razón por la que un error en un foro público pudo llegar a las cuentas de los empleados radica en el sistema de inicio de sesión de OpenAI, y no en el software del foro. El foro de OpenAI ofrece una opción de "Iniciar sesión con OpenAI", el mismo sistema de inicio de sesión único (SSO) que el personal utiliza en otros lugares. Una vez que los investigadores tomaron el control del servidor del foro, el inicio de sesión compartido les permitió hacerse con las cuentas de ChatGPT y Codex de los miembros del foro que trabajaban en OpenAI. Las víctimas no tuvieron que realizar ninguna acción para ser comprometidas.
Hacktron afirmó que este problema era de identidad de OpenAI, no una falla en el software del foro: cualquier servicio de terceros o de primera parte que usara el mismo inicio de sesión podría haber otorgado el mismo acceso. El modo de acceso fue una vulnerabilidad relacionada con imágenes. El foro funciona sobre Discourse, que pasa las imágenes HEIC y HEIF cargadas a una herramienta llamada ImageMagick, que utiliza la biblioteca libheif para leerlas. Una falla en libheif permitió que una imagen especialmente elaborada corrompiera la memoria del servidor del foro.
La advertencia de Discourse califica el resultado como ejecución remota de código, lo puntúa con un 8.8 sobre 10 y lo rastrea como CVE-2026-32882. Sin embargo, el registro público de la falla en sí es más limitado. En la propia advertencia de libheif y en las bases de datos nacionales de vulnerabilidades, CVE-2026-32882 se clasifica como una lectura fuera de los límites que puede hacer que el software se bloquee o filtrar memoria cercana, y no como un error de ejecución de código directo.
La memoria filtrada ayuda a eludir una protección común llamada ASLR (Address Space Layout Randomization). Los investigadores afirmaron que combinaron los errores de memoria de libheif, con la ayuda de la IA, para convertir el bloqueo en ejecución de código funcional en el servidor del foro. La falla fue corregida en libheif 1.22.0 en mayo de 2026.
Este arreglo existía meses antes de la prueba, pero la imagen del servidor del foro, construida sobre la distribución de Linux Debian 12, aún utilizaba la versión antigua y sin parches de libheif, la 1.19.7, cuando los investigadores revisaron en julio. Aunque la solución y su CVE ya eran públicas, Debian aún no las había incluido en la versión empaquetada que utilizaba el foro.
Si gestionas tu propio servidor de Discourse, esta parte te afecta directamente. Es recomendable reconstruir sobre la imagen más reciente para obtener la libheif corregida, ya que una simple actualización de la interfaz web puede no reemplazar la biblioteca antigua. Los sitios alojados por Discourse ya han sido parcheados, y las versiones autoalojadas corregidas son 2026.7.0, 2026.6.1, 2026.5.2 y 2026.1.6.
Los investigadores utilizaron IA para realizar la parte más complicada. Primero intentaron con Claude Opus 4.8, que tuvo dificultades durante varias sesiones para construir un exploit funcional una vez que se habilitó una defensa de memoria estándar, ASLR. Anthropic lanzó su siguiente modelo, Claude Opus 5, la noche del 24 de julio, y en una nueva sesión produjo un exploit funcional en cuestión de horas.
Opus 5 fue diseñado con salvaguardias destinadas a evitar que escribiera código de explotación para objetivos reales. Los investigadores eludieron estas restricciones dirigiendo el modelo a su propio servidor de prueba, disfrazado como un objetivo de práctica de captura de bandera, y permitiendo que funcionara en un bucle automatizado. Sin embargo, afirman que el trabajo no fue completamente autónomo: la dirección humana calificada seguía siendo crucial, y esto no fue un hacking automatizado sin control.
Este caso se alinea con lo que investigadores y empresas de IA han descrito este año: los modelos de IA capaces están reduciendo drásticamente el tiempo y las habilidades que el trabajo ofensivo serio solía requerir. Anthropic ha informado que grupos criminales y respaldados por estados ya están utilizando sus modelos Claude para llevar a cabo intrusiones reales, no solo para responder preguntas.
OpenAI fue un objetivo en un proyecto más amplio que Hacktron denomina HEIF Heist. Durante aproximadamente dos meses, el equipo afirma haber encontrado la misma clase de fallos de decodificación de imágenes en el software utilizado por otras grandes empresas, con un costo total de menos de 3,000 dólares en el uso de IA. Este esfuerzo se vincula a errores reportados en Slack, productos de Meta, GitHub Enterprise y marcos web como Next.js.
Las afirmaciones más amplias de este proyecto cuentan con respaldo desigual. La falla en Next.js está confirmada en la propia advertencia de Vercel, y los mantenedores de libheif confirmaron un exploit de ejecución de código funcional para el error relacionado con Meta. Sin embargo, la afirmación más amplia de ejecución de código en muchas aplicaciones no ha sido confirmada de manera independiente, un límite que The Hacker News destacó cuando cubrió por primera vez la falla de Next.js en agosto.
La campaña más amplia utilizó un modelo diferente, el propio GPT-5.6 Sol de OpenAI, para los casos en que el equipo no tenía información previa sobre el objetivo. Según los investigadores, solo una empresa, Shopify, parece haber notado la actividad, a pesar de que sus procesadores de imágenes se bloqueaban repetidamente bajo miles de cargas de prueba.
The Hacker News se ha puesto en contacto con Hacktron para obtener respuestas sobre cómo se logró la ejecución de código en el foro y sobre el alcance del acceso a las cuentas.
Las lecciones más importantes van más allá de Discourse. Si tu servicio acepta imágenes de usuarios y lee archivos HEIC, HEIF o AVIF a través de libheif, una versión antigua podría estar expuesta.
Además, si un servicio público de menor confianza comparte tu inicio de sesión único con herramientas internas, una brecha en ese servicio puede convertirse en una brecha en todas partes a donde el mismo inicio de sesión alcance.
Es fundamental actualizar libheif a la última versión de seguridad (1.23.4 a principios de septiembre de 2026) o a la versión corregida de tu distribución.
Donde no sea necesario, desactiva la decodificación de imágenes HEIF y AVIF no confiables, o ejecuta el procesamiento de imágenes dentro de un entorno de seguridad restringido.
Limita los servicios a los que tu inicio de sesión único confía y exige una verificación de identidad fresca antes de acciones sensibles, en lugar de confiar en una sesión existente.
Hasta el momento, no hay señales de que la vulnerabilidad de OpenAI haya sido utilizada contra alguien en el mundo real. A mediados de septiembre de 2026, no figuraba en la lista de la administración estadounidense de vulnerabilidades conocidas que han sido explotadas, aunque esa lista no es prueba concluyente en un sentido u otro.
Lo que los informes disponibles no aclaran es si una organización que ya ha aplicado parches debería seguir verificando si hubo accesos previos; sobre ese punto, las fuentes son silenciosas.