Una cadena de exploits con Claude llega del foro de OpenAI a su monorepo privado

Tres investigadores de Hacktron AI encadenaron un fallo de corrupción de memoria en libheif hasta los repositorios privados de OpenAI, pasando por el foro de la compañía y por un token de inicio de sesión con permisos de más. Buena parte del trabajo de explotación se lo repartieron a Claude, y ahí está el detalle incómodo: Opus 4.8 no fue capaz de sacar nada que funcionara contra un servidor real, y Opus 5 sí. Hacktron publicó su relato esta semana.

El fallo no estaba en nada que hubiera escrito OpenAI. Hacktron probaba community.openai.com, el foro de usuarios, que corre sobre Discourse. Discourse filtra las imágenes subidas con FastImage, pero FastImage no maneja HEIC ni HEIF, así que esos archivos acaban en ImageMagick, que los decodifica con libheif. La versión 1.19.7 de la imagen base Debian 12 que usaba el foro arrastraba un desbordamiento de búfer de heap que un archivo manipulado podía disparar. El arreglo había llegado a upstream el año anterior, pero el commit no estaba etiquetado como corrección de seguridad y nunca recibió un CVE, de modo que nadie lo retroportó al paquete de Debian. Un fallo parcheado que seguía siendo explotable porque nadie le puso la etiqueta.

Los investigadores adaptaron el exploit a la configuración x86-64 con jemalloc que usa Discourse, y una imagen HEIC malformada bastó para lograr ejecución remota de código. Discourse confirmó después la vulnerabilidad en el aviso GHSA-vhm9-85gw-x335 y puntuó el fallo de libheif —CVE-2026-32882— con un 8,8 sobre 10 en la escala CVSS.

Del foro a la cuenta de un empleado

Ejecutar código en un foro es un mal día para el foro, no para la empresa que lo opera. El problema llegó con el inicio de sesión único: los tokens que OpenAI emitía para el foro llevaban permisos excesivos y daban acceso completo por API a las cuentas de ChatGPT y Codex vinculadas. Una de ellas era de un empleado, y su cuenta de Codex estaba conectada al entorno de GitHub de OpenAI. Según Hacktron, otras cuentas podían haber expuesto servicios como Slack y el correo.

El equipo se detuvo ahí: hizo un cambio inocuo de documentación en el monorepo privado openai/openai y abrió un pull request para demostrar que el acceso era real. Los detalles del PR se censuraron a petición de OpenAI.

Después repitieron el ejercicio quitando a los humanos de en medio. Metieron a Claude en un bucle de agente autónomo con un objetivo, un blanco y tiempo, apuntando a una instancia de Discourse propia. El modelo llegó solo a ejecución remota de código y lo demostró leyendo /etc/hosts desde dentro del contenedor. Para arrancarlo hizo falta una treta: Opus se negaba a escribir un exploit contra un host remoto vivo, así que proxearon su instancia por rce.ee/ctf-forum para que pareciera un ejercicio de capture-the-flag.

Todo esto fue una hebra de un proyecto más amplio, «HEIF Heist», unos dos meses recorriendo infraestructura de procesamiento de imágenes de varias plataformas grandes. Costó menos de 3.000 dólares en tokens. OpenAI pagó 6.500 dólares de recompensa por el fallo de apropiación de cuentas y ya ha recortado los permisos de los tokens del foro y revocado los afectados.

Lo relevante para quien administra sistemas no es la cadena en sí, sino el tramo final: un bug sin CVE en un paquete de distribución, tokens de SSO con permisos de más y un modelo que, con las condiciones adecuadas, desarrolla el exploit solo. Lo primero se audita, lo segundo se configura. Lo tercero ya no depende de ti.