Investigadores de Hacktron utilizaron Claude, de Anthropic, para encadenar una vulnerabilidad de ImageMagick y libheif con un fallo en la infraestructura de identidad de OpenAI, y así acceder a un repositorio interno de código en menos de 72 horas. El equipo accedió a las cuentas de ChatGPT y Codex de varios empleados y después utilizó la conexión de GitHub de una cuenta de Codex comprometida para llegar al entorno privado de software de OpenAI. Los investigadores se detuvieron tras crear una pull request inocua y afirmaron que no inspeccionaron código fuente propietario.
Por qué importa
La operación se aceleró después de que Anthropic lanzara Opus 5, que ayudó a producir un exploit funcional tras el fracaso de intentos anteriores con Opus 4.8 frente a las defensas habituales basadas en la aleatorización del diseño del espacio de direcciones. Hacktron afirmó que Opus 5 produjo un exploit local para ARM64 en unas tres horas y después lo adaptó a la configuración x86-64 y jemalloc utilizada por Discourse. Para el 25 de julio, el equipo había reproducido el ataque contra un entorno de pruebas remoto y lo había utilizado contra el foro de OpenAI.
El episodio ilustra el equilibrio cambiante entre atacantes y defensores. Hacktron afirmó que la orientación de investigadores humanos expertos seguía siendo importante, pero su cofundador Mohan Pedhapati sostuvo que la IA está reduciendo la experiencia especializada, que es escasa, necesaria para desarrollar exploits. Los investigadores también descubrieron que los agentes de programación con IA pueden ampliar el radio de impacto de una cuenta comprometida, ya que las integraciones con GitHub, Slack, el correo electrónico y otros servicios pueden quedar al alcance del atacante.
Impacto en el mercado
Para las empresas de IA y los compradores de software empresarial, el riesgo va más allá de la seguridad de los modelos. Los agentes de programación se sitúan cada vez más entre los empleados y la infraestructura de desarrollo sensible, concentrando permisos en un pequeño número de plataformas. Por tanto, una sola debilidad de identidad puede convertirse en una vía de acceso a repositorios de código fuente y servicios conectados.
OpenAI corrigió el fallo de la capa de identidad aproximadamente 14 horas después de recibir el informe y pagó a Hacktron una recompensa de $6,500. Discourse preparó un parche y añadió aislamiento en el procesamiento de imágenes. La próxima prueba de seguridad para la adopción de la IA será determinar si las empresas pueden limitar los permisos de los agentes con la misma rapidez con la que amplían su acceso.
Preguntas frecuentes
-
¿Cómo llegaron los investigadores al repositorio interno de OpenAI?
Comprometieron la cuenta de Codex de un empleado y utilizaron su conexión con la organización de GitHub de OpenAI como vía hacia el monorepo privado openai/openai.
-
¿Qué vulnerabilidades se encadenaron en la intrusión de OpenAI?
Los investigadores combinaron una vulnerabilidad de procesamiento de imágenes relacionada con ImageMagick y libheif con una debilidad en la infraestructura de identidad de OpenAI.
-
¿Qué papel desempeñó Claude Opus 5 en la operación?
Opus 5 ayudó a producir un exploit funcional después de que los primeros intentos con Opus 4.8 fallaran frente a las protecciones ASLR habituales. También ayudó a adaptar el exploit entre arquitecturas y configuraciones de memoria.
-
¿Fue el ataque completamente autónomo?
No. Hacktron afirmó que investigadores humanos con experiencia proporcionaron orientación y criterio importantes, aunque Claude acortó parte del proceso de desarrollo del exploit.
-
¿Cómo respondió OpenAI a la divulgación?
OpenAI corrigió el fallo de la capa de identidad aproximadamente 14 horas después de recibir el informe y posteriormente pagó a Hacktron una recompensa de $6,500.
WuBlockchain
Crypto News
CoinDesk
Glassnode
TheBlock