Tres investigadores de ciberseguridad, integrantes del equipo Hacktron AI, usaron Claude, la inteligencia artificial de Anthropic, para vulnerar el foro oficial de OpenAI, apoderarse de cuentas asociadas a ChatGPT y Codex y acceder al repositorio privado de la compañía. La secuencia de la brecha involucró una cadena de dos vulnerabilidades: primero, una falla en el sistema que procesa las imágenes subidas al foro permitió ejecutar instrucciones en el servidor; luego, un fallo en los permisos de inicio de sesión amplió ese acceso a las cuentas vinculadas al servicio.

El episodio salió a la luz esta semana, aunque la investigación de Hacktron AI —compuesta por Harsh Jaiswal, Mohan Pedhapati y Rahul Maini— se llevó a cabo entre el 23 y el 25 de julio de 2026. En el transcurso de las pruebas, tomaron la cuenta de un empleado con Codex conectado al GitHub corporativo y ordenaron a la inteligencia artificial que abriera una propuesta de cambio en el repositorio interno openai/openai, lo cual demostró la posibilidad de modificar un archivo del repositorio.

Hacktron afirmó haber detenido la prueba sin llegar a revisar el código fuente de OpenAI. En su evaluación, la revisión posterior por parte de la empresa indicó que las lecturas fueron limitadas: se observó acceso a metadatos y a commits, pero sin lectura completa del código fuente.

OpenAI informó que solucionó el problema de su sistema de identidad alrededor de 14 horas después de recibir el informe y que procedió a revocar las sesiones afectadas. Además, la compañía otorgó una recompensa de 6.500 dólares al equipo por el hallazgo.

El malicioso punto de partida fue community.openai.com, un foro oficial que opera sobre Discourse. El sitio admite imágenes en formatos HEIC y HEIF, habituales en móviles y otros dispositivos. Para leer y transformar esos archivos, el servidor dependía de ImageMagick, que a su vez utiliza la biblioteca libheif.

Los investigadores solicitaron a Claude Opus 4.8 que revisara la versión de libheif instalada en el servidor. El modelo detectó la ausencia de varias correcciones de seguridad que ya formaban parte del proyecto. Esa vulnerabilidad podía provocar un desbordamiento de memoria durante el procesamiento de una imagen manipulada y permitir la ejecución remota de código: un atacante podría enviar un archivo diseñado para que el servidor ejecutara instrucciones ajenas.

Para validar la explotación práctica, Claude desarrolló una herramienta capaz de ejecutar el ataque. Opus 4.8 generó una primera versión orientada a un entorno de pruebas. En ese periodo, Anthropic anunció el lanzamiento de Claude Opus 5. Hacktron presentó el mismo problema y, según su informe, se avanzó en esa línea —aunque el texto original no especifica los detalles finales.

En síntesis, la investigación apunta a una cadena de vulnerabilidades en el procesamiento de imágenes y en los permisos de identidad que, combinadas, permitieron a intrusos hacerse de cuentas y manipular archivos dentro de un repositorio privado de OpenAI. OpenAI afirmó haber tomado medidas rápidas para contener la brecha y reforzar sus controles de seguridad.