Un equipo de tres personas de la startup de ciberseguridad Hacktron AI usó Claude, el modelo de inteligencia artificial de Anthropic, para vulnerar los sistemas internos de OpenAI y llegar hasta el repositorio privado donde la empresa guarda buena parte de su código. Todo ocurrió dentro del programa de recompensas por fallos de la propia OpenAI, según reveló The Wall Street Journal: los investigadores encadenaron dos vulnerabilidades para tomar el control de cuentas de ChatGPT y Codex de empleados y, desde ahí, entrar a su organización en GitHub. OpenAI confirmó el incidente, aseguró que ya corrigió las fallas y pagó una recompensa de 6,500 dólares. El caso importa por lo que insinúa sobre la seguridad en la era de la IA: modelos capaces de acelerar y abaratar ataques que hasta hace poco exigían equipos especializados y meses de trabajo.
Del foro de ayuda al repositorio interno de OpenAI
Los investigadores detectaron un fallo en la forma en que el foro de ayuda público de OpenAI, montado sobre la plataforma Discourse, procesaba las imágenes que subían los usuarios, y lo combinaron con una mala configuración del inicio de sesión único (SSO). Esa cadena les permitió tomar el control de cuentas de ChatGPT y Codex de empleados de la compañía. Como esas cuentas estaban conectadas a servicios como GitHub, Slack y correo, el alcance potencial era enorme.
Para demostrar hasta dónde llegaban sin leer ni copiar código sensible, usaron una cuenta de Codex comprometida para abrir un pull request inofensivo en el repositorio interno de OpenAI (openai/openai), el llamado monorepo que, según fuentes citadas por el Wall Street Journal, concentra buena parte del código que hace funcionar sus modelos. Todo el recorrido, desde el hallazgo inicial hasta el acceso al repositorio, tomó menos de 72 horas.
El equipo reportó el problema a través del programa de recompensas de OpenAI el 25 de julio. La empresa corrigió su parte unas 14 horas después, limitó los permisos de los tokens de acceso del foro y revocó las sesiones afectadas; Discourse añadió una medida de aislamiento adicional. OpenAI pagó la recompensa de 6,500 dólares y, por medio de su vocero Drew Pusateri, agradeció a los investigadores y confirmó que las fallas quedaron resueltas.
Claude Opus 5 resolvió en horas lo que Opus 4.8 no pudo
El grupo trabajó con una versión de Claude reservada a profesionales de ciberseguridad calificados, según el Wall Street Journal. Primero intentaron construir un exploit funcional con Claude Opus 4.8, pero el modelo se atascó durante varias sesiones. Esa misma noche Anthropic lanzó Opus 5 y, al día siguiente, los investigadores volvieron a intentarlo: el nuevo modelo produjo un ataque funcional en unas tres horas. En su reporte calcularon que la operación consumió unos días de trabajo del agente y apenas unas horas de tiempo humano.
Conviene una precisión: Anthropic no atacó a OpenAI. Fueron investigadores independientes quienes emplearon su modelo como herramienta, con autorización y dentro de un ejercicio pactado. El propio equipo bajó el perfil de la hazaña. «Solo somos tres tipos con suscripciones a Claude y Codex», dijo Mohan Pedhapati, director de tecnología de Hacktron, al Wall Street Journal, donde además reconoció que no se consideran tan avanzados como los actores de amenazas ligados a Estados como China.
Un detalle marca el límite del episodio: no usaron Claude Mythos, el modelo más capaz de Anthropic, cuyo acceso está restringido a un grupo reducido de organizaciones de ciberdefensa evaluadas. Les bastó una versión menos potente.
La IA acorta a horas ataques que antes tomaban meses
El episodio aterriza en un momento de presión creciente sobre las grandes empresas de IA por la seguridad de sus modelos, y alimenta una inquietud extendida entre especialistas: las herramientas de IA están volviendo más rápidos y baratos ataques sofisticados y metódicos que antes exigían equipos dedicados y meses de trabajo. La velocidad con la que Opus 5 logró lo que Opus 4.8 no pudo, apenas con el salto de una versión a otra, es justo lo que preocupa.
No es un problema de un solo bando. Tanto OpenAI como Anthropic han sufrido sus propios incidentes de seguridad, y ambas han pedido reglas que permitan a los humanos revisar la capacidad ofensiva de los modelos antes de liberarlos. La propia Anthropic reconoció a finales de 2025 una intrusión real atribuida a China que llegó a sus sistemas.
Para OpenAI, el saldo inmediato es acotado: los investigadores insistieron en que no leyeron ni copiaron código, y la compañía ya cerró las fallas. Lo que queda es la demostración de que, con cada modelo nuevo, entrar a un sistema bien defendido cuesta menos tiempo y menos manos.
