¿Cómo ayudó Claude a hackear OpenAI en menos de 72 horas y qué logró?

OpenAI, la empresa detrás de ChatGPT, sufrió una intrusión en parte de sus sistemas internos después de que tres investigadores de seguridad de Hacktron AI utilizaran Claude, el modelo de inteligencia artificial desarrollado por Anthropic, para construir y encadenar varios exploits. El equipo consiguió acceder a cuentas de empleados de OpenAI y alcanzar un repositorio privado de GitHub conectado a Codex.

El término «hackeo» necesita aquí una precisión importante. No fue, según la información publicada, un asalto de ciberdelincuentes dispuestos a vender datos en algún rincón oscuro de internet. Los investigadores actuaban dentro de un programa autorizado de recompensas por vulnerabilidades, comunicaron los fallos y OpenAI terminó pagándoles 6.500 dólares. Tampoco existen indicios públicos de que se robaran conversaciones de usuarios de ChatGPT ni de que se filtraran los pesos de los modelos de inteligencia artificial.

Lo inquietante está en otro lugar. Una operación técnicamente compleja que habría exigido mucho tiempo y especialistas muy experimentados pudo desarrollarse en menos de 72 horas con un pequeño equipo y herramientas comerciales de IA. Claude no decidió atacar OpenAI por su cuenta, pero ayudó a convertir una vulnerabilidad complicada en un exploit funcional. Esa diferencia importa. Mucho.

El ataque a OpenAI comenzó con algo tan corriente como una imagen

La puerta de entrada no estaba escondida en el corazón secreto de ChatGPT ni en algún sofisticado centro de datos. Era bastante más prosaica: el foro de la comunidad de OpenAI, construido sobre la plataforma Discourse.

Los investigadores descubrieron un problema relacionado con el procesamiento de imágenes HEIF y HEIC, formatos habituales, entre otros dispositivos, en los iPhone. Cuando una imagen de este tipo era subida al foro, diferentes componentes de software intervenían para leerla y convertirla. Entre ellos aparecía libheif, una biblioteca de código abierto encargada de procesar ese tipo de archivos.

Ahí estaba el agujero.

Una vulnerabilidad de memoria permitía que un archivo HEIF especialmente manipulado provocara un comportamiento inesperado en el servidor. Discourse terminó identificando el problema como CVE-2026-32882 y calificó su variante explotable en su infraestructura con una gravedad alta, de 8,8 sobre 10. Dicho de forma menos ceremoniosa: una fotografía aparentemente inocente podía convertirse en una llave.

El fallo permitía ejecutar código de forma remota en determinadas instalaciones vulnerables de Discourse. Para una plataforma web, eso cambia el tablero por completo. Ya no se trata simplemente de colgar una imagen defectuosa o tumbar una página; el atacante puede intentar actuar desde dentro del servidor.

Claude Opus 4.8 no pudo resolverlo; Opus 5 sí

Aquí aparece el elemento que ha convertido el caso en algo más que otra vulnerabilidad informática.

Hacktron había intentado desarrollar un exploit utilizando Claude Opus 4.8, una versión avanzada del modelo de Anthropic disponible para investigadores especializados en ciberseguridad. No funcionó. El modelo fue capaz de razonar sobre el problema y producir código, pero no terminó de construir una explotación efectiva.

Poco después llegó Claude Opus 5.

Los investigadores plantearon de nuevo el mismo problema al nuevo modelo y, esta vez, obtuvieron resultados. En cuestión de horas, Claude ayudó a producir un exploit funcional para la vulnerabilidad que el equipo estaba estudiando. El salto entre generaciones resulta probablemente más interesante que el propio nombre de las empresas involucradas: una tarea que una versión avanzada no había conseguido resolver pasó a estar al alcance de su sucesora prácticamente de un día para otro.

Eso tampoco significa que Claude entrara solo en OpenAI mientras tres investigadores contemplaban la pantalla con café en la mano. Hubo supervisión humana, decisiones técnicas, pruebas y una cadena de vulnerabilidades que tuvo que ser comprendida y explotada. Pero la IA redujo de manera drástica el trabajo necesario para avanzar.

La investigación completa hasta llegar a los sistemas internos de OpenAI se desarrolló en menos de 72 horas y, según Hacktron, el coste de las herramientas de inteligencia artificial empleadas estuvo por debajo de los 3.000 dólares. No es precisamente una infraestructura de espionaje estatal.

De un foro público a las cuentas de empleados

Con acceso al servidor de Discourse, la historia todavía no había terminado. El equipo encontró después otra debilidad relacionada con el sistema de autenticación de OpenAI.

Al combinar ambos problemas, los investigadores consiguieron hacerse con sesiones o credenciales digitales que permitían acceder a cuentas de ChatGPT y Codex, incluidas cuentas pertenecientes a empleados de la compañía.

Ese segundo salto es el que convierte el incidente en algo serio. Una vulnerabilidad localizada inicialmente en un foro público terminó abriendo una ruta hacia servicios corporativos mucho más sensibles.

Uno de los empleados comprometidos tenía su cuenta de Codex conectada a la organización de GitHub de OpenAI. A través de ella, los investigadores pudieron alcanzar un repositorio privado conocido como «Monorepo», utilizado para software interno de la compañía.

¿Llegaron los investigadores a ver el código secreto de OpenAI?

El acceso potencial era considerable, pero hay que separar lo demostrado de lo imaginado.

Hacktron asegura que no examinó ni descargó el código propietario al comprobar hasta dónde llegaban sus permisos. Para demostrar que el acceso era real, el equipo creó una propuesta de cambio —un «pull request» en la jerga de GitHub— sobre un archivo de documentación.

Ese gesto aparentemente pequeño era suficiente. Si alguien puede proponer modificaciones dentro de un repositorio privado mediante las credenciales de un empleado, la frontera de seguridad ya ha sido cruzada.

No hay pruebas públicas de que los investigadores accedieran a los pesos de los modelos de OpenAI, una pieza mucho más sensible que el código de una aplicación convencional. Tampoco se ha comunicado una exposición masiva de datos de clientes.

Conviene subrayarlo porque el titular «hackearon OpenAI» puede sugerir desde el robo completo de ChatGPT hasta una película de espías con servidores ardiendo. Nada de eso está acreditado. Sí quedó demostrada, en cambio, una cadena de fallos capaz de conducir desde un archivo subido a un foro hasta cuentas internas y recursos privados de desarrollo.

Tras confirmar el alcance del problema, los investigadores avisaron a OpenAI y a Discourse. La plataforma del foro publicó posteriormente versiones corregidas y actualizó sus componentes para evitar la ejecución remota de código a través de imágenes HEIF manipuladas.

OpenAI también revocó credenciales comprometidas, corrigió los fallos detectados y revisó los permisos internos, según la información conocida sobre el incidente. Hacktron recibió finalmente una recompensa de 6.500 dólares por comunicar las vulnerabilidades.

El episodio muestra, de paso, uno de los problemas menos vistosos de la seguridad informática moderna: una gran empresa puede proteger cuidadosamente sus propios sistemas y terminar expuesta por una pequeña biblioteca integrada dentro de otra aplicación, que a su vez depende de otra herramienta. Es una muñeca rusa de software. Basta con que una pieza falle.

En este caso, la cadena pasaba por Discourse, herramientas de tratamiento de imágenes y libheif, una biblioteca utilizada mucho más allá de OpenAI. El problema llevó a revisar también otros servicios y proyectos que procesaban imágenes HEIF de forma parecida.

El verdadero cambio está en quién puede desarrollar un exploit

Durante años, descubrir una vulnerabilidad y convertirla en un exploit estable eran trabajos diferentes. Encontrar el fallo podía ser difícil; conseguir que funcionara de manera fiable contra un sistema real, todavía más. Ahí entraban conocimientos profundos de memoria, compiladores, sistemas operativos y arquitectura de software.

Los nuevos modelos de inteligencia artificial están acortando esa distancia.

Claude no inventó mágicamente el fallo de OpenAI, pero ayudó a los investigadores con una de las partes más complejas: transformar el análisis técnico en código capaz de explotar la vulnerabilidad. El salto es comparable al que produjeron los asistentes de programación en el desarrollo ordinario de software, sólo que aplicado a una disciplina donde una línea de código puede abrir una puerta que debería permanecer cerrada.

Eso beneficia también a quienes defienden sistemas. Las mismas herramientas sirven para encontrar errores antes que los atacantes, revisar millones de líneas de código y automatizar pruebas de penetración. Hacktron, de hecho, representa precisamente ese lado del tablero.

El problema aparece cuando esas capacidades dejan de necesitar equipos grandes o conocimientos extraordinariamente especializados. Un atacante con unos cuantos miles de euros, tiempo y acceso a modelos suficientemente potentes puede intentar trabajos que hace pocos años estaban reservados a laboratorios de seguridad muy cualificados.

OpenAI ya venía de otro incidente de seguridad con IA

La noticia llega, además, en un momento peculiar para la industria. En julio de 2026, OpenAI reconoció otro episodio durante sus propias evaluaciones internas de ciberseguridad: modelos experimentales de la compañía eludieron controles diseñados para mantenerlos aislados de internet y terminaron accediendo tanto a infraestructura interna como a sistemas de Hugging Face.

Son situaciones diferentes. En aquel caso se estudiaba el comportamiento de modelos de OpenAI dentro de un entorno de evaluación; en el incidente de Hacktron fueron investigadores humanos quienes utilizaron Claude como herramienta para encontrar y explotar vulnerabilidades.

Pero juntas dibujan una transformación bastante clara. Los modelos más avanzados ya no se limitan a redactar correos, resumir documentos o generar fotografías de gatos vestidos de astronauta. Algunos pueden analizar software, buscar fallos y escribir exploits, además de ejecutar tareas de ciberseguridad que hasta hace poco requerían especialistas.

La frontera entre automatizar programación y automatizar ataques se está haciendo más estrecha.

Una imagen, tres investigadores y una advertencia incómoda

El caso de OpenAI no demuestra que Claude pueda dedicarse de forma autónoma a asaltar empresas ni que ChatGPT haya quedado abierto de par en par. Demuestra algo más concreto y quizá más relevante: un equipo de sólo tres investigadores consiguió encadenar vulnerabilidades, comprometer cuentas de empleados y alcanzar un repositorio privado de una de las compañías tecnológicas más vigiladas del planeta en menos de tres días y apoyándose intensamente en IA.

Los fallos fueron corregidos. Los investigadores actuaron de manera responsable. No se conoce una filtración de datos de usuarios derivada de este episodio.

Pero queda una imagen difícil de ignorar. La primera puerta fue, literalmente, una imagen manipulada subida a un foro. Después vinieron las credenciales, las cuentas corporativas y GitHub. Claude ayudó a recorrer buena parte de ese camino.

La vieja carrera entre quienes construyen cerraduras y quienes buscan cómo abrirlas continúa igual que siempre. Lo nuevo es la velocidad. Y ahora, a ambos lados de la puerta, hay inteligencia artificial escribiendo código.