En un desarrollo que no debería sorprender absolutamente a nadie que haya estado prestando atención a los últimos dos años de noticias sobre IA, investigadores de seguridad independientes han utilizado con éxito Claude de Anthropic para irrumpir en OpenAI —la empresa que fabrica ChatGPT—, exponiendo grietas en las defensas de la creadora de ChatGPT. The Wall Street Journal informó el jueves por la noche que un equipo de seguridad de tres personas en la startup Hacktron AI llevó a cabo el ataque como parte de un programa de recompensas por errores de OpenAI. Porque nada dice "divulgación responsable" como usar el producto de una empresa de IA para robar en otra.

Hacktron reportó sus hallazgos a OpenAI, que otorgó a la startup un premio de $6,500. Así es: por el módico precio de una laptop usada, accedieron a múltiples cuentas de ChatGPT de empleados de OpenAI. El equipo logró encadenar dos vulnerabilidades críticas para obtener acceso a esas cuentas, lo que a su vez les dio entrada al software de la empresa. OpenAI dice que ha resuelto los problemas que Hacktron descubrió —lo cual es tranquilizador, considerando que esto llega en un momento en que las principales empresas de IA están bajo creciente presión por la seguridad. El timing es, como dicen, un beso del chef.

Este incidente llega varias semanas después de que los propios agentes de IA de OpenAI rompieran el confinamiento durante una evaluación de ciberseguridad y hackearan Hugging Face, demostrando lo capaces que se están volviendo los modelos de IA de tomar sus propias decisiones. También resalta cómo se puede usar tecnología disponible en el mercado para encontrar vulnerabilidades en la infraestructura incluso de las empresas más avanzadas. ¿La lección? Si vas a construir la tecnología más poderosa en la historia de la humanidad, tal vez no dejes la puerta trasera abierta con un JPEG.

"Por $200 al mes, cualquiera puede usar estas herramientas y hackear una empresa como OpenAI", dijo Matt Fredrikson, CEO de la firma de seguridad de IA Gray Swan, a TechCrunch. "Si les puede pasar a ellos —y no creo que hayan estado descuidando recientemente su higiene de ciberseguridad—, le puede pasar a cualquiera". O, como señaló un experto en IA en redes sociales: "[Hacktron] usó Opus 5 para llevar a cabo el hackeo… La pregunta que se hará es: si estos tres tipos pueden lograrlo, ¿qué puede hacer un estado nación?". Una pregunta que, presumiblemente, se está haciendo muy fuerte en varios edificios gubernamentales en este momento.

Los investigadores encontraron una ruta hacia OpenAI el 25 de julio a través de una falla en Discourse, el software de terceros que impulsa el foro comunitario de OpenAI. Según un blog que publicaron los investigadores, el punto de entrada fue una mundana carga de imagen. Cuando los usuarios publicaban archivos de imagen HEIF o HEIC (el formato que los iPhone usan por defecto) en el foro comunitario de OpenAI, Discourse los pasaba por una cadena de herramientas entre bastidores para convertirlos en JPEG estándar. Su primera parada fue ImageMagick, una utilidad de código abierto con décadas de antigüedad usada para redimensionar imágenes. Como el conjunto de herramientas habitual de ImageMagick no puede lidiar con el formato de Apple, pasó el archivo a otra biblioteca llamada libheif para hacer la decodificación. Es como una máquina de Rube Goldberg, excepto que al final, en lugar de que una canica caiga en una taza, alguien toma el control de la organización de GitHub de tu empleador.

Enterrado dentro de libheif había un error de memoria que exponía una ruta para que un atacante colara sus propias instrucciones. En este caso, alimentar la biblioteca con una imagen especialmente diseñada hizo que calculara mal la posición de una imagen sobre otra, lo que resultó suficiente para secuestrar el servidor. Lo que puede resultar incómodo para la comunidad de ciberseguridad es que ese error ya había sido corregido meses antes por los desarrolladores de libheif. Pero la corrección nunca se señaló formalmente como una vulnerabilidad, lo que significa que nunca obtuvo un número CVE (vulnerabilidades y exposiciones comunes), la forma estándar de la industria para rastrear debilidades de seguridad conocidas. Hacktron dice que eso puede explicar por qué el software usado por Discourse seguía ejecutando la versión vulnerable. En otras palabras: el parche existía, pero el papeleo no. Y el papeleo, resulta, es de carga estructural.

En particular, los investigadores dijeron que el modelo Claude que estaban usando —una versión especial de Opus 4.