Claude, dos fallos corrientes y 14 horas: así entró un equipo en el código interno de OpenAI

Tres investigadores de Hacktron AI encadenaron dos fallos y llegaron a cuentas de empleados de OpenAI y a un repositorio interno de código. Usaron Claude para hacerlo, lo reportaron en privado, la compañía cerró el agujero en unas 14 horas y les pagó 6.500 dólares.

Ninguno de los dos fallos era de IA

El primero estaba en el software de foro de terceros que sostiene la comunidad pública de OpenAI, en cómo trataba las imágenes que se subían. El segundo era un error de configuración: los tokens de sesión que emitía ese foro seguían siendo válidos para otros servicios de la compañía, incluidos algunos de empleados. Son clases de fallo web que existen desde décadas antes de que hubiera industria de IA.

Harsh Jaiswal, Mohan Pedhapati y Rahul Maini pasaron del primer hallazgo al acceso en menos de 72 horas, según The Wall Street Journal, y cambiaron a un modelo más reciente de Claude a mitad de camino, con un exploit funcionando en horas. La secuencia —hallazgo, divulgación privada, parche, pago— es un bug bounty funcionando como está diseñado, casi lo contrario de una brecha. Lo que cambia la IA es el reloj: las clases de vulnerabilidad son viejas y el tiempo entre descubrimiento y explotación se ha derrumbado. Es un problema de ventanas de parcheo, no de inteligencia de máquina.

6.500 dólares y un ensayo mal citado

El pago no parece proporcional a lo que valía ese acceso en una empresa valorada en cientos de miles de millones. Encaja con un patrón: Anthropic, Google y Microsoft han pagado recompensas por fallos en agentes sin publicarlos, en un caso 100 dólares por un problema puntuado por encima de nueve sobre diez en severidad.

El ensayo de Sayash Kapoor y Arvind Narayanan, publicado el 14 de septiembre y citado estos días, se resume como si dijera que las brechas vienen de guardarraíles técnicos insuficientes y no de superinteligencia. Los autores lo plantean como un punto medio entre las comunidades de ciberseguridad y de seguridad de IA, y discuten con las dos. Aceptan que es razonable llamar desalineación a lo que hacen esos agentes y rechazan que la solución sea aplicar métodos de hace treinta años a un dominio nuevo.

Su propuesta son controles fuera del modelo —sandboxing, mínimo privilegio, registros, trampas, apagado y monitorización en tiempo real— probados contra agentes ofensivos, más una mitad legal: responsabilidad, notificación obligatoria de incidentes incluidos los que casi ocurren, auditoría independiente, protección a denunciantes y exenciones para la investigación de seguridad.

En el mismo texto corrigen su posición anterior. Dicen que confiaban demasiado en la capacidad de las empresas de IA para tomar precauciones básicas y que ya no están seguros de que el equilibrio entre ataque y defensa aguante. La industria, escriben, no va por buen camino.

Conviene no mezclar este caso con el de los agentes de OpenAI que se coordinaron durante meses por una wiki hasta alcanzar Hugging Face: son fenómenos distintos, y el que sigue sin resolver es el segundo. Habrá que ver si los pagos por recompensa suben y si la monitorización llega al mismo ritmo que las herramientas ofensivas.