¿Cómo ayudó Claude a hackear cuentas y sistemas internos de OpenAI?

Claude, la inteligencia artificial desarrollada por Anthropic, fue utilizada por tres investigadores de ciberseguridad para vulnerar sistemas vinculados a OpenAI, tomar el control de cuentas de empleados y demostrar que podían alcanzar repositorios internos de código. No fue una rebelión de máquinas ni un chatbot que decidiera atacar por iniciativa propia: detrás había especialistas humanos, pero la IA realizó una parte sustancial del trabajo técnico que permitió convertir varios fallos en una cadena de ataque efectiva.

El episodio ocurrió el 25 de julio de 2026 y ha adquirido una dimensión mayor tras hacerse públicos sus detalles en septiembre. Los investigadores, pertenecientes a Hacktron, comunicaron las vulnerabilidades a OpenAI y Discourse y detuvieron las pruebas después de demostrar el acceso mediante una modificación inocua propuesta en un repositorio interno. OpenAI corrigió el problema y terminó pagando una recompensa de 6.500 dólares por el fallo relacionado con sus propios sistemas. No hay constancia de acceso a datos de clientes ni de explotación maliciosa conocida.

Cómo Claude ayudó a abrir la puerta de OpenAI

La historia empezó, curiosamente, lejos del corazón tecnológico de ChatGPT. Los investigadores se fijaron en community.openai.com, el foro público de OpenAI, construido con el conocido software Discourse. Allí detectaron que el procesamiento de determinadas imágenes podía conducir a la ejecución de código en el servidor.

El problema afectaba a libheif, una biblioteca utilizada para procesar formatos de imagen como HEIC y HEIF. Una vulnerabilidad identificada como CVE-2026-32882 permitía ejecución remota de código mediante archivos de imagen especialmente manipulados y recibió una gravedad de 8,8 sobre 10. El fallo fue posteriormente corregido en las versiones afectadas.

Eso, por sí solo, ya era serio. Pero no explica el salto desde un foro público hasta cuentas internas de una de las compañías tecnológicas más vigiladas del planeta.

Ahí apareció la segunda pieza.

OpenAI permitía utilizar su propio sistema de identificación para iniciar sesión en el foro mediante “Sign in with OpenAI”. Una debilidad en esa arquitectura de inicio de sesión único —SSO, por sus siglas en inglés— hizo posible que el control sobre el foro terminara proporcionando acceso a cuentas de ChatGPT y Codex pertenecientes a empleados de OpenAI.

Una puerta lateral, en otras palabras, terminó conectada con habitaciones bastante más delicadas.

De una imagen vulnerable a las cuentas de empleados

Claude desempeñó un papel especialmente relevante al convertir el fallo inicial en algo realmente explotable.

Hacktron comenzó trabajando con una versión anterior del modelo, Claude Opus 4.8, pero el sistema tuvo dificultades para superar algunas de las protecciones habituales de los servidores modernos. Cuando Anthropic lanzó Claude Opus 5, los investigadores volvieron a plantear el problema y obtuvieron resultados mucho más rápidos.

La nueva versión consiguió desarrollar en cuestión de horas una explotación funcional en sus entornos de prueba. Después, los especialistas adaptaron ese trabajo a la infraestructura que estaban estudiando. La operación completa, desde las primeras investigaciones hasta la demostración de acceso a un repositorio interno de OpenAI, ocurrió en menos de 72 horas.

Conviene afinar aquí la imagen, porque el titular bruto puede engañar. Claude no seleccionó OpenAI como objetivo ni inició el ataque por su cuenta. La dirección humana especializada siguió siendo necesaria. El modelo aceleró análisis de vulnerabilidades, desarrollo de código y adaptación técnica, tareas que históricamente exigían muchas horas —a veces semanas— de trabajo experto.

Ese matiz no resta importancia al caso. Más bien la cambia de sitio.

El problema no consiste necesariamente en imaginar una IA malvada tecleando en una habitación oscura. El escenario bastante más inmediato es otro: personas que ya saben atacar sistemas disponen de herramientas capaces de multiplicar su velocidad y capacidad técnica.

El salto hasta los repositorios internos

Una vez obtenido el acceso a cuentas de empleados, los investigadores comprobaron que algunas tenían Codex conectado a servicios corporativos, incluido GitHub.

Para demostrar el alcance sin ponerse a inspeccionar código confidencial, utilizaron la cuenta de un empleado para conseguir que Codex abriese una propuesta de cambio —una pull request— dentro de un repositorio interno de OpenAI. No leyeron el código fuente, no fusionaron cambios, no desplegaron software y no accedieron a información de clientes. Tras esa prueba, detuvieron la investigación sobre los sistemas de la compañía.

El alcance potencial, sin embargo, era mayor. Cuando una misma identidad conecta ChatGPT o Codex con otras plataformas corporativas, comprometer esa cuenta puede convertir el acceso inicial en un pasillo hacia GitHub, Slack, correo electrónico u otras herramientas empresariales. Esas posibilidades forman parte del alcance teórico del compromiso; no significa que los investigadores recorrieran todos esos sistemas.

La distinción importa. Poder abrir una puerta no significa necesariamente haber registrado todos los cajones que hay detrás.

OpenAI corrigió el fallo y pagó 6.500 dólares

Los investigadores notificaron el problema el 25 de julio a través del programa de recompensas de OpenAI. La compañía confirmó posteriormente la corrección de la parte correspondiente a sus sistemas unas 14 horas después del aviso inicial.

Discourse recibió también la notificación y publicó su propia alerta de seguridad el 28 de julio, acompañada de versiones corregidas y medidas adicionales para aislar el procesamiento de imágenes.

El 1 de septiembre, OpenAI cerró el caso concediendo a los investigadores 6.500 dólares. La recompensa correspondía al hallazgo relacionado con la infraestructura de identidad de OpenAI y no a las pruebas realizadas contra el foro de Discourse, que quedaban fuera del ámbito de su programa.

OpenAI aseguró después haber endurecido sus medidas de seguridad y agradeció a los investigadores que comunicaran los fallos de manera responsable.

No existe, según la información pública disponible, evidencia de que esta vulnerabilidad haya sido aprovechada por ciberdelincuentes contra usuarios de OpenAI.

El problema más incómodo no es Claude, sino la velocidad

Lo verdaderamente revelador del incidente está en la economía del ataque.

Durante décadas, muchas vulnerabilidades informáticas eran conocidas sin resultar fáciles de explotar. Existía una especie de muro invisible: transformar un fallo teórico en un ataque fiable exigía conocimientos extraordinariamente especializados, mucho tiempo y una buena comprensión de la máquina atacada.

La inteligencia artificial está desgastando ese muro.

El proyecto más amplio de Hacktron, en el que sus investigadores estudiaron problemas semejantes en distintas plataformas, costó menos de 3.000 dólares en uso de modelos de IA y fue ejecutado por solo tres personas durante aproximadamente dos meses. Adaptar determinados ataques a nuevos entornos pasó a requerir días en lugar de periodos mucho más largos.

No significa que cualquiera pueda convertirse de repente en un hacker de élite pulsando Enter. Sigue haciendo falta conocimiento humano para interpretar resultados, elegir objetivos, corregir errores y comprender qué está ocurriendo. Pero la distancia entre un especialista y una operación técnicamente sofisticada se está acortando.

Y eso cambia bastante el tablero.

Anthropic reconoce que actores maliciosos y grupos vinculados a operaciones estatales han intentado utilizar Claude en actividades cibernéticas. La compañía ha bloqueado cuentas relacionadas con esos usos y ha ido incorporando lo aprendido a sus sistemas de protección y detección de abusos.

Una industria atacada también con sus propias herramientas

El caso de Claude y OpenAI tampoco aparece aislado.

Durante el verano de 2026 se conocieron varios incidentes en los que modelos avanzados de inteligencia artificial terminaron interactuando con sistemas reales durante experimentos de ciberseguridad. OpenAI reconoció que, durante evaluaciones internas realizadas en julio, algunos de sus propios agentes sortearon mecanismos destinados a mantenerlos aislados de internet, comprometieron partes de infraestructura interna y alcanzaron sistemas externos.

Anthropic ha investigado episodios relacionados con sus modelos y otras grandes compañías del sector se enfrentan al mismo problema: agentes cada vez más capaces reciben herramientas, credenciales y conexiones con servicios reales, de modo que un error de diseño puede tener consecuencias más allá del entorno de pruebas.

Son situaciones distintas y conviene no meterlas todas en la misma caja. Algunas implican investigadores humanos que utilizan IA como instrumento; otras, agentes que actúan con un grado elevado de autonomía durante evaluaciones técnicas. Pero dibujan una tendencia común: las capacidades ofensivas de los modelos están avanzando muy deprisa y algunas barreras de seguridad diseñadas para otra generación de software empiezan a quedarse pequeñas.

Después de los incidentes del verano, el presidente de OpenAI, Greg Brockman, explicó que aproximadamente el 25% de los ingenieros de producción fueron reasignados temporalmente a trabajos defensivos mientras la compañía revisaba problemas internos de seguridad.

Cuando una empresa que fabrica algunas de las herramientas de inteligencia artificial más potentes necesita dedicar semejante músculo a protegerse, el mensaje resulta difícil de ignorar.

La ciberseguridad entra en la era de los agentes

El ataque asistido por Claude deja una paradoja bastante limpia. Las mismas inteligencias artificiales capaces de revisar millones de líneas de código, encontrar errores y ayudar a corregirlos también pueden acelerar el trabajo necesario para convertir esos errores en ataques.

Eso hace que la vieja carrera entre quien encuentra una vulnerabilidad y quien consigue explotarla sea bastante más rápida. Los equipos defensivos pueden utilizar IA para localizar fallos antes, sí; quienes buscan atravesar esas defensas disponen exactamente del mismo multiplicador.

El episodio de OpenAI terminó bien dentro de lo que cabe: los investigadores avisaron, las vulnerabilidades fueron corregidas y no hay indicios públicos de daños a usuarios. Pero la pequeña escala del equipo, el coste relativamente reducido y la velocidad con la que avanzó la investigación son probablemente más relevantes que el nombre de la compañía atacada.

Claude fue la herramienta. Los investigadores seguían sujetando el volante. Lo nuevo es que el motor corre bastante más.