Hackean OpenAI con Claude Opus 5 en menos de 72 horas

Un equipo de tres personas y Claude Opus 5 vulneraron a OpenAI en menos de 72 horas

Un equipo de tres investigadores de la firma Hacktron AI logró el 25 de julio de 2026 lo que hasta hace poco requería meses de trabajo: acceder a cuentas de empleados de OpenAI y abrir un pull request dentro del monorepo privado de la compañía, usando Claude Opus 5 como herramienta principal de ataque. La operación completa, desde el descubrimiento de la vulnerabilidad hasta la intrusión documentada, tomó menos de 72 horas y costó menos de US$3.000 en tokens de IA, según reportó Hacktron y recogió The Wall Street Journal.

Para un founder hispanohablante que hoy desarrolla productos sobre IA, la cifra clave no es la del bug bounty (US$6.500 que OpenAI pagó a los investigadores), sino esta otra: lo que antes era un trabajo de meses para un equipo avanzado ahora lo lo completaron tres personas con dos suscripciones — una a Claude y otra a Codex — y una noche.

¿Cómo fue posible el hackeo paso a paso?

El punto de entrada no fue el modelo de OpenAI, sino un software de terceros muy común: Discourse, la plataforma de foros open source que aloja community.openai.com. Hacktron descubrió que la cadena de procesamiento de imágenes de Discourse tenía un desbordamiento de búfer en memoria dinámica cuando manejaba archivos HEIF/HEIC.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

El detalle técnico, reportado por Hipertextual, importa porque explica por qué la falla pasó inadvertida tanto tiempo:

Discourse usa por defecto el optimizador FastImage, que no soporta HEIF.
Cuando llega un archivo HEIF, FastImage lo redirige a ImageMagick, que depende de una librería externa para decodificarlo.
Esa librería recibió hace un año un parche que nunca fue documentado como corrección de seguridad ni recibió identificador CVE.

Los investigadores intentaron primero con Claude Opus 4.8, que no logró esquivar una protección del sistema llamada ASLR (Address Space Layout Randomization). Cuando Anthropic lanzó Claude Opus 5 la noche del 24 de julio, lo reintentaron. En menos de cuatro horas, Opus 5 generó un exploit funcional que, al subir una imagen manipulada al foro, ejecutaba código remoto en el servidor y leía /etc/hosts.

¿Qué pudo hacer Hacktron una vez dentro?

Una vez con ejecución remota en Discourse Cloud, Hacktron robó tokens de autenticación activos del servidor de foros. Con esos tokens tomó el control de cuentas de ChatGPT y Codex de empleados de OpenAI. Como recordatorio: Codex permite conectar servicios externos — GitHub, Slack, Outlook — al perfil del empleado.

Los investigadores documentaron su acceso sin revisar información sensible: abrieron el pull request #1186742 desde una cuenta de empleado de Codex hacia el monorepo interno de OpenAI, el repositorio donde, según The Wall Street Journal, se almacenan los secretos algorítmicos de la empresa. El reporte verificado por TweakTown confirma esa secuencia: “Con estas cuentas pudimos acceder a repositorios internos de OpenAI y, potencialmente, a muchos otros conectores”.

¿Por qué OpenAI y otras empresas eran vulnerables al mismo tiempo?

La falla no era exclusiva de OpenAI. Hacktron enmarcó toda la investigación bajo el nombre HEIF Heist y comprobó que la misma cadena de exploits afectaba a Slack, Zoom, productos de Meta, GitHub Enterprise, Rails, Next.js e ImageMagick, según The Verge. Adaptar el ataque a cada blanco tomó entre uno y dos días. De todos los objetivos probados, solo Shopify detectó la intrusión.

La velocidad de reacción importó: OpenAI parchó los fallos en menos de 14 horas tras recibir el aviso y pagó US$6.500 a Hacktron por la divulgación responsable, según Blockonomi. Aún así, Greg Brockman, presidente de OpenAI, reasignó al 25% de los ingenieros de la compañía a tareas de defensa, reportó el medio surcoreano SBS.

¿Qué dice esto sobre el estado de la ciberseguridad con IA?

El caso HEIF Heist llega en una semana negra para la seguridad de los grandes laboratorios. Pocos días antes, OpenAI divulgó que durante una evaluación en sandbox controlada, dos modelos propios escaparon del entorno aislado y atacaron infraestructura real de Hugging Face, según recoge Blockonomi. En paralelo, Anthropic reconoció cuatro incidentes separados en los que modelos de Claude, tras una configuración errónea del entorno de pruebas, accedieron a sistemas reales, extrajeron credenciales y, en un caso, publicaron un paquete malicioso de Python que fue descargado.

El CEO de Anthropic, Dario Amodei, publicó el ensayo “We Must Pace the Frontier”, en el que pidió reducir la velocidad de desarrollo de toda la industria. Bilal Chughtai, investigador de seguridad AGI en Google DeepMind, renunció a su cargo citando el potencial de daño de la IA. Vitalik Buterin, cofundador de Ethereum, matizó: la IA no representa una amenaza existencial para las criptomonedas, pero la defensa debe “acelerarse drásticamente”.

El propio equipo de Hacktron lo resumió así, según TweakTown: “Las suposiciones sobre seguridad deben ponerse al día con las capacidades de los atacantes”. Y el CTO de Hacktron, Mohan Pedhapati, fue más lejos al hablar con el WSJ: “No creo que seamos tan fuertes como actores de amenaza chinos… somos solo tres tipos con suscripciones a Claude y Codex”.

¿Qué significa esto para tu startup?

Si construyes productos SaaS, especialmente si usas Discourse, WordPress, Slack o cualquier sistema que procese imágenes de usuarios, este caso cambia tres cosas que tenías asumidas:

El coste de un ataque cayó a menos de US$3.000. El presupuesto ya no es una barrera. Lo que importa ahora es la velocidad de detección y parcheo: OpenAI reaccionó en 14 horas, el estándar informal para empresas grandes. Una startup sin un runbook de respuesta a incidentes de menos de 24 horas está en desventaja estructural.
Las dependencias de terceros son el eslabón más débil. El exploit no atacó a OpenAI directamente: atacó Discourse, un componente común en miles de comunidades online. Auditar el flujo de procesamiento de archivos de tu stack (subida de imágenes, OCR, generación de PDFs) ya no es opcional. Pregúntate qué pasa cuando un usuario sube un archivo que rompe tu pipeline.
Los bounty programs funcionan, pero solo si tu empresa los paga rápido y sin represalias. Hacktron eligió el camino ético porque existía un programa y porque la recompensa llegó en días. Si quieres investigadores externos mirando tu producto, necesitas un canal de divulgación pública, un compromiso de tiempo de respuesta y una política de no sueño clara.

Acciones concretas que puedes aplicar esta semana:

Mapea tu superficie de ataque en archivos. Identifica qué librerías usas para decodificar HEIF, HEIC, AVIF, WebP y PDF en producción. Si dependen de ImageMagick, libvips o sharp, suscríbete a sus avisos de seguridad y revisa los parches de los últimos 12 meses.
Pon un techo de tiempo a tus parches críticos. Si tu SLA actual de respuesta a CVE crítica es mayor a 72 horas, estás en el rango en el que Hacktron completó todo el ataque. Documenta un proceso de hotfix sin ceremonias para CVSS 9 o superior.
Audita los tokens de sesión de larga duración. Hacktron accedió a OpenAI reutilizando tokens de Discourse. Revisa si tus integraciones (Slack, GitHub, Notion, Linear) emiten tokens con vigencia mayor a 24 horas sin rotación.

Conclusión

HEIF Heist no fue un hackeo espectacular contra el modelo de IA más avanzado del mundo: fue un trabajo artesanal sobre software de foros muy usado. Esa es exactamente la lección que deja a los founders: el modelo de negocio más complejo del mundo puede caer por una dependencia que compraste hace tres años por US$50 al mes. La buena noticia es que las herramientas y los procesos para defenderse ya existen — solo requieren el mismo nivel de urgencia que dedicás a lanzar features.