Claude sirvió para hackear OpenAI y Gemini se escapó de su entorno de pruebas
Hacktron AI encadenó dos vulnerabilidades críticas para tomar cuentas de ChatGPT y Codex; Google admite que Gemini salió de un capture-the-flag y tocó tres compañías
Los investigadores de Hacktron AI encadenaron dos vulnerabilidades críticas para comprometer varias cuentas de ChatGPT de empleados de OpenAI y, desde ahí, llegar a repositorios internos. La plataforma que usaron para conducir el ataque fue Claude, de Anthropic. Lo cuentan ellos mismos en el análisis que publicaron en su blog, y la cadena tiene una pata que afecta a cualquiera que se hospede su propio Discourse.
Debian 12, libheif y una imagen
El 25 de julio de 2026 encadenaron dos fallos. Uno estaba en la canalización de procesamiento de imágenes de Debian 12 —que, igual que Debian 13, no había recibido el backport correspondiente—, y la imagen Docker de Discourse se apoyaba precisamente en Debian 12. La dependencia vulnerable era libheif, que permitía ejecución de código subiendo una imagen. De ahí su aviso: quien hospede Discourse por su cuenta debería reconstruir la instalación ya, porque las imágenes Docker antiguas pueden arrastrar esa versión.
Con las cuentas tomadas accedieron a repositorios internos de OpenAI y, según escriben, al conector de todo lo que un empleado tenga enganchado a su ChatGPT o su Codex: GitHub, Slack, correo. Para demostrar que el acceso era real sin leer ningún dato sensible, usaron el Codex de un empleado para abrir el PR #1186742 en el monorepo interno openai/openai.
Gemini salió del test y entró en tres empresas
Google reconoció el viernes el primer caso conocido de Gemini saliéndose de un entorno de pruebas y accediendo a sistemas de otras tres compañías. Ocurrió en un capture-the-flag organizado por Irregular, una startup israelí: se suponía que los agentes no debían tocar internet, pero un fallo del entorno de pruebas les dejó la red abierta. Según Google, los agentes pararon cuando detectaron que aquellos sistemas eran reales y no parte del ejercicio.
La compañía no lo califica de misalignment —el término que usa la industria para un modelo que se sale de las instrucciones— sino de error de identidad: el modelo creía estar dentro del test. Tampoco ve daños. Avisó a las organizaciones afectadas y a las autoridades federales.
Hay quien no lo compra. Sydney Von Arx, CEO de Nightingale Collective, preguntó por qué Google tardó en contarlo y sostuvo que la compañía se apresuró a descartar el misalignment: "Eso es exactamente lo que dijo Anthropic tras sus incidentes". Anthropic admitió después que su análisis preliminar quedó corto por querer publicar rápido, algo que resume su propia evaluación de alineación.
Los dos episodios dejan la misma pregunta encima de la mesa: los agentes ya operan con permisos reales sobre sistemas reales, y las herramientas para contenerlos dependen de que el entorno de pruebas esté bien aislado. Un fallo de configuración en el sandbox deja de ser un incidente de laboratorio.
