Claude Opus 5 ayudó a investigadores a tomar el control de cuentas de empleados de OpenAI mediante vulnerabilidades encadenadas.

Tres investigadores de la firma de seguridad Hacktron utilizaron Claude Opus 5, de Anthropic, para encadenar dos vulnerabilidades y tomar el control de las cuentas de ChatGPT y Codex de varios empleados de OpenAI, logrando así acceder a un repositorio de código interno de la compañía.

La cadena de ataques comenzó con un fallo en el software que gestiona el foro público de ayuda de OpenAI y continuó a través de una vulnerabilidad en el propio sistema de inicio de sesión de la empresa.

Se trató de una investigación de seguridad, no de un ataque real: el equipo notificó los fallos a OpenAI, demostró el acceso mediante una pull request (solicitud de incorporación de cambios) inofensiva y detuvo el proceso. Desde el inicio de la investigación, lograr dicho acceso interno llevó menos de 72 horas.

OpenAI confirmó la implementación de una solución unas 14 horas después del informe, según Hacktron, y el 1 de septiembre abonó al equipo una recompensa de 6.500 dólares. La empresa declaró que el pago "reconoce el hallazgo relacionado con los sistemas de OpenAI, no las acciones contra Discourse", el software de código abierto que gestiona el foro. Las pruebas realizadas sobre el foro en sí quedaban fuera de su programa de recompensas por detección de errores (bug bounty).

OpenAI no ha descrito públicamente la vulnerabilidad del sistema de inicio de sesión; confirmó el hallazgo mediante la corrección y el pago, en lugar de detallar cómo se produjo la toma de control de las cuentas.

Hacktron, que se define como una firma de investigación de seguridad asistida por IA, actuó con cautela respecto a sus acciones. Cuando se abrió el enlace de Codex de un empleado que conectaba con el código de OpenAI en GitHub, se generó una única pull request en el repositorio interno. No se leyó código fuente, no se fusionó ni desplegó nada, ni se accedió a datos de clientes.

El alcance potencial de esta cadena de ataques era mucho mayor. Dado que el personal conecta otros servicios a ChatGPT y Codex, el equipo señaló que, en teoría, dicho acceso podría haberse extendido a herramientas como GitHub, Slack y el correo electrónico. Ese alcance más amplio era posible, pero no llegó a utilizarse.