Un grupo de investigadores de ciberseguridad consiguió acceder a sistemas internos de OpenAI utilizando Claude, la inteligencia artificial desarrollada por Anthropic, en una investigación autorizada que terminó revelando una cadena de vulnerabilidades en la infraestructura de la compañía.
El equipo, perteneciente a la startup de seguridad Hacktron AI, consiguió utilizar el modelo de Anthropic para desarrollar un exploit que comenzó en una vulnerabilidad relacionada con el foro público de OpenAI y terminó permitiendo acceder a cuentas de empleados de la compañía, además de consultar información en repositorios privados.
OpenAI fue informada de los hallazgos, corrigió las vulnerabilidades y pagó al equipo una recompensa de 6,500 dólares dentro de su programa de búsqueda de errores.
No fue un hackeo criminal
Aunque los titulares hablan de un «hackeo a OpenAI», el contexto es importante.
Los investigadores no actuaron como ciberdelincuentes. El trabajo se realizó dentro de un programa autorizado de búsqueda de vulnerabilidades, diseñado precisamente para encontrar fallos antes de que puedan ser aprovechados por atacantes reales.
Hacktron informó a OpenAI y a Discourse, la plataforma utilizada para gestionar el foro, sobre la vulnerabilidad inicial y colaboró en el proceso de corrección. OpenAI confirmó posteriormente que había solucionado el problema.
El caso, por tanto, puede entenderse como una prueba de seguridad realizada bajo condiciones controladas.
¿Cómo consiguió entrar Claude?
La investigación comenzó con una vulnerabilidad relacionada con el procesamiento de imágenes en el foro de ayuda de OpenAI, basado en Discourse.
Los investigadores utilizaron Claude para analizar el problema y generar código capaz de aprovechar la vulnerabilidad. El primer modelo empleado no consiguió producir un exploit funcional de manera consistente.
Después llegó el cambio que convirtió la investigación en un caso especialmente llamativo.
El equipo volvió a intentarlo utilizando Claude Opus 5, una versión más reciente del modelo. Según los investigadores, esta vez el sistema consiguió encontrar una vía funcional para aprovechar la vulnerabilidad en aproximadamente tres horas.
De una vulnerabilidad en un foro a cuentas de empleados
El problema no terminó en el foro.
A través de la explotación, los investigadores consiguieron obtener tokens de autenticación, es decir, credenciales digitales que permiten a determinados servicios verificar la identidad y los permisos de un usuario o sistema.
El equipo descubrió posteriormente que algunos de esos tokens podían utilizarse para acceder a cuentas de empleados en ChatGPT.
Eso abrió una segunda puerta: los investigadores pudieron consultar recursos asociados con esas cuentas y utilizar las credenciales para acceder al GitHub privado de OpenAI.
El alcance potencial de la cadena de ataque era considerable, aunque los investigadores actuaron dentro del ejercicio autorizado y reportaron los hallazgos a la empresa.
Incluso pudieron demostrar el acceso al código
Para demostrar que la vulnerabilidad realmente había proporcionado acceso a los sistemas internos, el equipo llegó a realizar acciones controladas dentro del repositorio privado.
Entre ellas estuvo la creación de una solicitud de cambios, conocida como pull request, utilizada como prueba de que habían conseguido alcanzar el entorno interno.
La intención no era modificar de manera destructiva los sistemas de OpenAI, sino demostrar el nivel de acceso obtenido durante la investigación.
Lo más llamativo: la evolución del modelo
El episodio resulta especialmente relevante por la diferencia entre los modelos utilizados.
Los investigadores explicaron que Claude Opus 4.8 tuvo dificultades para producir un exploit funcional. Cuando utilizaron Opus 5, el comportamiento cambió y el modelo consiguió desarrollar una vía de explotación que funcionó.
El equipo señaló que cada nueva generación de modelos está adquiriendo capacidades mayores para este tipo de tareas.
Esto no significa que Claude haya «decidido» atacar a OpenAI por iniciativa propia.
Los investigadores diseñaron el experimento, proporcionaron objetivos y supervisaron el proceso. La importancia del caso está en la capacidad del modelo para automatizar partes de una investigación ofensiva que anteriormente requerían mucho más trabajo manual.
La IA ya se utiliza en ciberseguridad ofensiva y defensiva
El caso de OpenAI no ocurre de manera aislada.
Anthropic publicó recientemente un informe en el que documentó diferentes operaciones en las que actores maliciosos intentaron utilizar Claude para realizar actividades cibernéticas. La compañía señaló que durante los últimos meses ha detectado un cambio hacia el uso de modelos como verdaderos orquestadores de operaciones, capaces de encadenar diferentes tareas.
Al mismo tiempo, las compañías de inteligencia artificial están desarrollando modelos especializados para ayudar a los defensores a encontrar vulnerabilidades y proteger sistemas.
Esto está creando una carrera tecnológica bastante peculiar: las mismas capacidades que pueden ayudar a encontrar una vulnerabilidad también pueden utilizarse para intentar explotarla.
¿La IA hizo todo el trabajo?
No.
Esta es una de las partes que puede perderse fácilmente entre los titulares.
La investigación necesitó expertos humanos, infraestructura, objetivos concretos y supervisión. El modelo fue utilizado como una herramienta avanzada dentro de un proceso diseñado por investigadores de seguridad.
Por ello, describir el incidente como una IA que «hackeó por sí sola a OpenAI» sería una simplificación.
Lo que sí demuestra es que los modelos actuales pueden asumir una parte cada vez mayor del trabajo técnico necesario para analizar vulnerabilidades, generar código y probar diferentes estrategias de explotación.
OpenAI corrigió las vulnerabilidades
Después de recibir el reporte, OpenAI trabajó en la solución de las vulnerabilidades identificadas.
La empresa confirmó que había corregido el problema y agradeció a los investigadores por compartir responsablemente sus hallazgos. Según la información publicada por AFP, la vulnerabilidad inicial fue corregida aproximadamente 14 horas después de que OpenAI recibiera el aviso.
La recompensa de 6,500 dólares formó parte del programa mediante el cual la compañía incentiva este tipo de investigaciones.
Un nuevo reto para la seguridad de las empresas de IA
El caso deja una pregunta mucho más amplia que la rivalidad entre OpenAI y Anthropic.
A medida que los modelos de inteligencia artificial adquieren capacidad para analizar sistemas, escribir código y ejecutar secuencias complejas de acciones, la frontera entre una herramienta de asistencia y un agente capaz de realizar operaciones de ciberseguridad se vuelve cada vez más delgada.
Para las empresas tecnológicas, eso significa que proteger una plataforma de IA ya no consiste únicamente en asegurar servidores y aplicaciones tradicionales. También implica considerar cómo podrían utilizarse modelos avanzados para descubrir y encadenar vulnerabilidades.
El episodio de OpenAI muestra precisamente ese escenario: una vulnerabilidad convencional terminó convirtiéndose en una cadena de acceso mucho más amplia cuando un modelo de IA fue incorporado al proceso de investigación.
Y esta vez, el «hackeo» no fue obra de un atacante buscando robar información, sino de investigadores que intentaban demostrar qué tan lejos podía llegar una IA cuando se le da una tarea de ciberseguridad real.
