Hackers usan Claude Opus 5 para acceder a sistemas internos de OpenAI en menos de 72 horas

Tres investigadores de seguridad usaron el modelo Claude Opus 5 para penetrar el foro comunitario de OpenAI y, a través de dos vulnerabilidades, entrar al repositorio interno de código.

La primera falla estaba en libheif, la librería que el foro utilizaba para procesar imágenes HEIC. Un parche había existido en el código fuente durante un año, pero los paquetes Debian del foro no lo incluían. Con un archivo HEIC malicioso, los atacantes ejecutaron código arbitrario en el servidor.

La segunda vulnerabilidad era una mala configuración del sistema de inicio de sesión único (SSO) de OpenAI. Controlar el servidor del foro permitía suplantar a cualquier miembro activo y, por extensión, a sus cuentas de ChatGPT y Codex. Cualquier servicio que utilizara el login de OpenAI estaba potencialmente comprometido.

Para descubrir la vulnerabilidad, los investigadores empezaron con Claude Opus 4.8. El modelo generó un exploit funcional solo cuando ASLR estaba deshabilitado, lo que impedía su uso en entornos reales. Cuando Anthropic lanzó Opus 5, el mismo modelo produjo un exploit funcional en menos de tres horas en una máquina local y lo adaptó al entorno del foro Discourse en cuatro horas.

El ataque se ejecutó en el foro community.openai.com; cualquier usuario que usara "Sign in with OpenAI" podía verse afectado. Los investigadores verificaron el acceso creando un pull request sin daño en el monorepo interno y no consultaron datos sensibles.

OpenAI respondió con un parche 14 horas después de la publicación del informe; Discourse también corrigió el problema en días.

El proyecto, llamado "HEIF Heist", se extendió a Slack, Meta, GitHub Enterprise y otros, con un coste inferior a 3.000 USD y un tiempo de adaptación de uno a dos días por objetivo.

Esta operación demuestra cómo las capacidades de generación de código de los modelos de IA pueden reducir el tiempo y el coste de los ataques que antes requerían equipos especializados. Los defensores deben replantear sus modelos de amenaza para reflejar la facilidad con la que las vulnerabilidades se pueden explotar con IA.

Para más detalles sobre la vulnerabilidad en libheif: Repositorio en GitHub. El informe completo de Hacktron está disponible en su blog: The attack.