Una imagen HEIF manipulada permitió saltar desde el foro comunitario de OpenAI hasta cuentas de empleados y demostrar acceso a un repositorio privado, sin que conste una filtración de datos de usuarios.
📌 En resumen
- Tres investigadores de Hacktron comprometieron cuentas internas de OpenAI en menos de 72 horas.
- La entrada inicial fue una imagen HEIF manipulada procesada por el foro comunitario basado en Discourse.
- Claude Opus 5 ayudó a convertir el análisis de la vulnerabilidad en un exploit funcional, pero el ataque necesitó supervisión humana.
- Los investigadores demostraron acceso a un repositorio privado mediante un pull request y recibieron 6.500 dólares.
Tres investigadores de Hacktron AI consiguieron comprometer cuentas de empleados de OpenAI y alcanzar un repositorio privado de GitHub vinculado a Codex. La investigación se completó en menos de 72 horas con la ayuda de Claude y otras herramientas de inteligencia artificial.
No fue un ataque criminal ni una intrusión encubierta. El trabajo se desarrolló dentro del programa autorizado de recompensas por vulnerabilidades de OpenAI. Hacktron comunicó los fallos, las empresas implicadas aplicaron correcciones y OpenAI pagó una recompensa de 6.500 dólares.
Tampoco existen indicios públicos de que se robaran conversaciones de ChatGPT, se descargara código propietario o quedaran expuestos los pesos de los modelos. El alcance conocido procede principalmente del relato de los investigadores, aunque OpenAI confirmó que recibió el aviso y solucionó las vulnerabilidades explotadas.
Una imagen HEIF abrió la primera puerta
El punto de entrada fue el foro comunitario de OpenAI, un servicio basado en Discourse. Hacktron estudió cómo su infraestructura procesaba imágenes HEIF y HEIC, formatos utilizados habitualmente por dispositivos como el iPhone.
Cuando un usuario sube uno de estos archivos, varias bibliotecas pueden intervenir para leer su contenido, generar miniaturas o convertirlo. Entre ellas se encuentra libheif, un componente de código abierto empleado directa o indirectamente por numerosas aplicaciones y herramientas de procesamiento de imágenes.
Los investigadores construyeron un archivo manipulado capaz de aprovechar errores de memoria en esta cadena de procesamiento. Según Hacktron, el resultado fue la ejecución remota de código en la infraestructura de Discourse Cloud y, posteriormente, el acceso a la instancia utilizada por OpenAI.
Uno de los fallos relacionados con libheif quedó registrado como CVE-2026-32882. Conviene precisar que su ficha pública lo describe como una lectura fuera de los límites del búfer, con una gravedad de 7,1 sobre 10, y no como una vulnerabilidad independiente de ejecución remota de código. El acceso conseguido por Hacktron dependió de una cadena de explotación más amplia y adaptada al entorno.
Claude Opus 5 aceleró el desarrollo del exploit
Hacktron había intentado previamente desarrollar el exploit con Claude Opus 4.8. Ese modelo fue capaz de analizar el problema y producir código, pero no consiguió completar una explotación funcional.
La situación cambió después del lanzamiento de Claude Opus 5. Los investigadores aseguran que empezaron a utilizar la nueva versión durante la tarde del 24 de julio y que, antes de las 10:00 del día siguiente, ya habían logrado ejecutar código en Discourse Cloud.
Esto no significa que Claude atacara OpenAI de manera autónoma. Los especialistas tuvieron que seleccionar los objetivos, interpretar los errores, corregir intentos fallidos y decidir cómo encadenar las vulnerabilidades. La IA actuó como una herramienta para generar, revisar y depurar código durante el proceso.
El proyecto, denominado HEIF Heist, costó menos de 3.000 dólares en consumo de modelos y podía adaptarse a diferentes servicios en uno o dos días, según Hacktron. El equipo también utilizó Codex y otras herramientas durante la investigación, por lo que atribuir toda la operación exclusivamente a Claude simplificaría en exceso lo sucedido.
Del foro público a cuentas internas de OpenAI
Después de acceder al servidor del foro, los investigadores encontraron otra debilidad relacionada con el sistema de autenticación. La combinación de ambos problemas les permitió obtener sesiones con acceso a cuentas de ChatGPT y Codex pertenecientes a empleados de OpenAI.
Una de esas cuentas tenía Codex conectado a la organización de GitHub de la compañía. A través de sus permisos, el equipo pudo alcanzar un repositorio privado conocido como Monorepo, utilizado para alojar software interno.
Hacktron sostiene que no inspeccionó ni descargó el código propietario. Para demostrar que el acceso era real, los investigadores enviaron un pull request inofensivo sobre un archivo de documentación desde la cuenta comprometida.
La prueba confirmó que una vulnerabilidad localizada inicialmente en un foro externo podía terminar afectando a recursos corporativos más sensibles. También expuso el riesgo de conservar conexiones activas entre cuentas de empleados, asistentes de programación y repositorios privados.
OpenAI y Discourse corrigieron los fallos
Hacktron notificó las vulnerabilidades a OpenAI y Discourse mediante los canales correspondientes. OpenAI aseguró posteriormente que había solucionado los problemas explotados y agradeció a los investigadores que compartieran sus hallazgos.
Libheif corrigió CVE-2026-32882 en la versión 1.22.0. Las aplicaciones que procesen archivos HEIF o AVIF procedentes de usuarios deben revisar qué versión incorporan, incluso cuando la biblioteca llegue indirectamente mediante componentes como ImageMagick, libvips o Sharp.
El caso demuestra que la seguridad de un servicio no depende únicamente de su aplicación principal. Una biblioteca nativa incluida dentro de una herramienta secundaria puede convertirse en la primera pieza de una cadena capaz de atravesar varios sistemas.
La IA reduce el coste de desarrollar exploits
Descubrir una vulnerabilidad y transformarla en un exploit estable son tareas diferentes. La segunda puede exigir conocimientos especializados sobre gestión de memoria, compiladores, arquitectura de sistemas y mecanismos de protección.
Los modelos avanzados no eliminan esa dificultad, pero pueden acelerar la escritura de código, el análisis de fallos y la búsqueda de alternativas. En este caso, tres investigadores consiguieron completar en menos de tres días un trabajo que habría requerido considerablemente más tiempo sin asistencia automatizada.
La misma capacidad puede utilizarse para auditar aplicaciones, localizar dependencias vulnerables y probar correcciones. El riesgo aparece cuando la velocidad para explotar un fallo supera la capacidad de las organizaciones para identificarlo y parchearlo.
La investigación de Hacktron no demuestra que Claude pueda hackear por sí solo una empresa. Sí muestra algo más inmediato: un equipo reducido, con experiencia técnica y acceso a modelos comerciales, puede desarrollar y encadenar exploits complejos con menos tiempo y recursos que antes.
