Tres investigadores de la empresa de seguridad Hacktron necesitaron menos de 72 horas para entrar a los sistemas internos de OpenAI por su foro comunitario. El equipo encadenó dos vulnerabilidades hasta llegar a las cuentas de ChatGPT y Codex de empleados de la compañía, y desde ahí al repositorio interno de código en GitHub, informó The Decoder el 18 de septiembre de 2026.
El ataque corrió por community.openai.com. Cualquier usuario o empleado que hubiera ocupado ahí el botón "Sign in with OpenAI" quedaba potencialmente expuesto. Como Codex y ChatGPT admiten conexiones con GitHub, Slack y correo, el alcance teórico llegaba también a esos servicios. Para demostrar que tenían el acceso, los investigadores usaron la cuenta Codex de un empleado y abrieron un pull request inofensivo en el monorepo interno. Dicen que no revisaron datos sensibles.
Las dos fallas encadenadas
La primera vulnerabilidad estaba en libheif, la biblioteca con la que el foro procesaba las imágenes HEIC que subían los usuarios. Según Hacktron, el arreglo llevaba un año disponible en el código fuente original, pero nadie lo había marcado como problema de seguridad, y los paquetes de Debian que corrían en el foro seguían sin incorporarlo. Un archivo de imagen preparado a medida les permitió ejecutar su propio código en el servidor.
La segunda era una mala configuración del sistema central de inicio de sesión único (SSO) de OpenAI. Quien controlara el servidor del foro podía suplantar a miembros activos y tomar el control de sus cuentas de ChatGPT y Codex. La falla no se quedaba en el foro. Cualquier servicio comprometido que usara el inicio de sesión de OpenAI habría entregado el mismo acceso, escribe Hacktron.
¿Qué cambió con Claude Opus 5?
Los investigadores partieron con Claude Opus 4.8. El modelo construyó un exploit que funcionaba, aunque solo con ASLR desactivado, una defensa habitual contra los ataques de memoria. A lo largo de varias sesiones no consiguió una versión confiable con ASLR encendido.
La noche del 24 de julio Anthropic liberó Claude Opus 5. Según Hacktron, el modelo nuevo produjo en tres horas un exploit que funcionaba contra un Mac local y después lo adaptó al entorno del servidor Discourse. El equipo dejó a Claude corriendo en un bucle autónomo contra su propia instancia de prueba. Como el modelo se negaba a escribir exploits contra sistemas reales, le presentaron el objetivo como una tarea de benchmark. Cuatro horas después, el agente se había tomado el servidor. En una tarea relacionada, los investigadores observaron además un salto de rendimiento respecto de GPT-5.6 Sol, de OpenAI.
OpenAI confirmó el arreglo unas 14 horas después del reporte. Discourse, el software detrás del foro, respondió en cuestión de días.
Menos de 3.000 dólares en IA
Los investigadores extendieron el trabajo, que llamaron "HEIF Heist", a Slack, Meta, GitHub Enterprise y otros objetivos. Tres personas lo llevaron adelante durante dos meses y gastaron menos de 3.000 dólares en modelos de IA. Adaptar el ataque a cada objetivo nuevo les tomaba entre uno y dos días. Solo Shopify notó la actividad, pese a los miles de imágenes subidas y a las caídas repetidas en el procesamiento.
El software vivió mucho tiempo bajo una forma de seguridad por complejidad, escribe el equipo de Hacktron. Aun con el código fuente público y una vulnerabilidad conocida, armar un exploit confiable exigía experiencia escasa, tiempo y conocimiento profundo del entorno del objetivo. La complejidad no era una barrera de seguridad real, pero en la práctica protegía a muchas empresas.
La IA saca esa protección del medio y reemplaza la experiencia escasa por poder de cómputo. Hacktron sostiene que los modelos de amenaza tienen que reflejar lo barato que salen ahora los ataques.
"El trabajo que antes exigía un equipo con recursos y meses de esfuerzo ahora se puede comprimir en días", escribe el equipo.
