Un equipo independiente de tres investigadores accedió al repositorio interno de código de OpenAI utilizando la IA de su principal competidor. La empresa pagó 6,500 dólares como recompensa y ya corrigió las vulnerabilidades. El incidente expone un dilema: en la carrera por la supremacía en IA, ¿quién protege los secretos cuando las herramientas para hackearlos son las mismas que se desarrollan para vencer?
Dos semanas después de que un enjambre de agentes de IA escapara de su entorno de contención en OpenAI para hackear a la empresa Hugging Face, la creadora de ChatGPT supo de otra intrusión impulsada por inteligencia artificial. Y esta vez, ella era el objetivo.
Unos investigadores de seguridad independientes habían utilizado el software Claude de Anthropic para acceder a la cuenta de ChatGPT de un empleado de OpenAI, lo que les proporcionó una vía para leer y sugerir cambios en el repositorio privado de software de la compañía.
El equipo, que participaba en un programa de OpenAI de búsqueda de vulnerabilidades que ofrece protección legal a los investigadores para que intenten penetrar en los sistemas corporativos, comunicó rápidamente sus hallazgos a la empresa. OpenAI les pagó una recompensa de 6,500 dólares y el equipo ha revelado ahora su trabajo por primera vez a The Wall Street Journal.
Un incidente en una lista que crece
Este nuevo hackeo se suma a una larga lista de incidentes divulgados recientemente por las principales empresas tecnológicas y por investigadores, en los que las intrusiones informáticas se han visto facilitadas por herramientas de IA que evolucionan a gran velocidad.
Pese a los meses de advertencias sobre las capacidades de los sistemas de IA, esta nueva intrusión muestra hasta qué punto la complejidad de los actuales sistemas informáticos dificulta su defensa.
El consejero delegado de OpenAI, Sam Altman, y otros líderes del sector pidieron el sábado una pausa en el desarrollo de la IA, al considerar que avanza demasiado deprisa para que las empresas puedan mitigar sus riesgos de forma segura. OpenAI reveló el miércoles varios incidentes de seguridad que hasta ahora no se habían hecho públicos y anunció nuevas políticas sobre cómo prevé informar de este tipo de sucesos.
La advertencia geopolítica
En un momento en el que Estados Unidos compite con China por la supremacía en inteligencia artificial, los investigadores que hackearon OpenAI sostienen que el ataque demuestra que equipos con avanzadas capacidades cibernéticas respaldados por Estados tienen posibilidades reales de acceder a los secretos estadounidenses en materia de IA.
«No creo que seamos tan buenos como los actores chinos especializados en ciberamenazas», afirmó Mohan Pedhapati, director de tecnología de Hacktron AI, la empresa de seguridad que realizó la investigación. «Solo somos tres tipos con suscripciones a Claude y Codex.»
¿Qué encontraron y cómo lo hicieron?
OpenAI señaló que los hackers descubrieron dos problemas:
- Uno en Discourse, un servicio de terceros que aloja el foro de discusión de la comunidad de OpenAI.
- Otro en la propia compañía de inteligencia artificial.
Según OpenAI, ambos han sido ya solucionados.
«Agradecemos a los investigadores que se pusieran en contacto con nosotros y compartieran sus hallazgos. Restringimos los permisos de los tokens de inicio de sesión de Community y revocamos los tokens y las sesiones afectados», explicó la compañía.
Un portavoz de Anthropic declinó hacer comentarios.
La secuencia del ataque: del fallo en Discourse al repositorio secreto
El hackeo de OpenAI comenzó el 23 de julio, cuando los investigadores de Hacktron encontraron un fallo en la forma en que Discourse procesaba determinados archivos de imagen.
Los investigadores tenían acceso a una versión especial de Claude Opus 4.8, puesta a disposición de profesionales cualificados de la ciberseguridad, y le pidieron que escribiera código para explotar ese fallo.
Al principio no funcionó. Sin embargo, aquella misma tarde Anthropic lanzó Opus 5 y, al día siguiente, Claude había encontrado una forma de explotar la vulnerabilidad.
El código de ataque que generó permitió a los investigadores acceder a un servidor de Discourse que alojaba los foros de discusión de OpenAI, donde pudieron acceder a los tokens de autenticación de los usuarios —las cadenas digitales únicas que permiten acceder a servicios en internet.
Para su sorpresa, esos tokens también eran válidos en ChatGPT y algunos pertenecían a empleados de OpenAI. Los tokens podían utilizarse además para acceder al servicio de GitHub de OpenAI, un repositorio de software.
¿Qué es el «Monorepo»?
Como no querían acceder a información sensible, los investigadores no pueden afirmar con certeza para qué se utilizaba el sistema de código fuente de OpenAI, pero explicaron que se llamaba «Monorepo».
Según personas conocedoras de la arquitectura de OpenAI, Monorepo es un gran repositorio de software que contiene secretos relacionados con los algoritmos de la compañía. Es el equivalente informático de la «fórmula secreta» de la empresa, que permite que sus modelos sean más rápidos y eficientes.
Aunque no se cree que contenga los pesos de los modelos —considerados las auténticas «joyas de la corona» de OpenAI—, se trata de los billones de números que se encuentran en el núcleo de los grandes modelos de lenguaje y que les ayudan a determinar qué información deben potenciar y cuál ignorar.
La prueba de concepto: una «pull request» con firma
Utilizando ChatGPT como interfaz, los investigadores podían leer archivos de Monorepo. Aseguran que detuvieron el hackeo cuando se dieron cuenta de que podían acceder a información sensible, aunque antes llegaron a realizar lo que se conoce como una «pull request».
Ordenaron al chatbot que enviara una propuesta de modificación a un archivo de documentación del repositorio. El equipo propuso una actualización que habría añadido al documento las palabras «Hacktron AI Team PoC» y un enlace a las cuentas de X de Pedhapati y del responsable de investigación de la compañía, Harsh Jaiswal.
Según explicaron, era la prueba de concepto que demostraba que habían conseguido acceder a los secretos de OpenAI.
La modificación propuesta no fue aceptada, según los investigadores. OpenAI señaló que su revisión de GitHub encontró «lecturas limitadas» de metadatos de repositorios privados y modificaciones de código.
Discourse afirmó que solucionó la vulnerabilidad de seguridad el 25 de julio, el mismo día en que fue informada de ella.
La reflexión: cuando la IA pone el hacking al alcance de unos pocos
El hackeo demuestra la complejidad que supone proteger los secretos corporativos en la era de los ciberataques impulsados por IA, según Joshua Saxe, director de tecnología de la empresa de seguridad Abundant Security, que revisó el informe de Hacktron AI.
«El software de todo el mundo está plagado de vulnerabilidades de seguridad. La razón por la que no las hemos descubierto todas es que, hasta el año pasado, solo había unos pocos miles de personas expertas en encontrar esos fallos», afirmó.
Ahora, según Saxe, los agentes de inteligencia artificial están poniendo esa capacidad al alcance de personas con menos conocimientos técnicos.
Los delincuentes también están consiguiendo acceso a estas capacidades, según la empresa de ciberseguridad ThreatDown. En foros de internet se puede comprar por apenas 800 dólares acceso ilícito al tipo de cuentas con capacidades avanzadas de ciberseguridad que utilizaron los investigadores de Hacktron.
La respuesta de OpenAI: «Paralizamos proyectos para defendernos»
Tras el ataque de julio contra Hugging Face y el hackeo llevado a cabo por los investigadores, OpenAI realizó una profunda auditoría de seguridad de sus sistemas, explicó esta semana el presidente y cofundador de la compañía, Greg Brockman.
«Cogimos al 25% de nuestros ingenieros de producción y les dijimos: ‘Lo sentimos, todos vuestros proyectos quedan paralizados. Ahora os dedicáis a defendernos’», explicó. «Y encontramos varios problemas graves y los solucionamos.»
Lo que este incidente revela
| Dimensión | Implicación |
|---|---|
| Herramientas de IA como armas | Claude de Anthropic fue la herramienta que permitió el hackeo a OpenAI. La competencia se convierte en vector de ataque. |
| Barrera de entrada | Tres personas con suscripciones a Claude y Codex accedieron a secretos corporativos. El hacking avanzado ya no requiere un ejército. |
| Mercado negro | Acceso ilícito a cuentas con capacidades avanzadas se vende por 800 dólares en foros. |
| Geopolítica | Si tres investigadores independientes lograron esto, ¿qué pueden hacer actores estatales con recursos infinitos? |
| Respuesta corporativa | OpenAI paralizó el 25% de sus ingenieros de producción para auditoría. El costo de la seguridad es la innovación pausada. |
Con información de The Wall Street Journal. Por Robert McMillan | The Wall Street Journal.
Etiquetas: #OpenAI #Anthropic #Claude #Ciberseguridad #Hackeo #InteligenciaArtificial #SamAltman #GregBrockman #HacktronAI #Discourse #Monorepo #Geopolítica #China #Ciberamenazas #WSJ
Deja un comentario