« On July 25, we hacked OpenAI »: dos bugs, 72 horas, un PR interno
El investigador s1r1us anuncia haber tomado el control de cuentas de ChatGPT y Codex de empleados de OpenAI, y haberlo demostrado subiendo un pull request al código interno.
En breve
El investigador de seguridad s1r1us anuncia haber encadenado dos vulnerabilidades que permitían tomar el control de cuentas ChatGPT/Codex, incluidas las de empleados de OpenAI, y alcanzar los servicios conectados: Outlook, Slack, GitHub. La prueba aportada es un pull request depositado en el codebase interno de OpenAI, obtenido en menos de 72 horas. El episodio ilustra el nuevo punto débil de los asistentes de IA: ya no son chatbots, son cuentas conectadas a toda la infraestructura de una empresa.
🍺 Versión de barra
Dos fallos, tres días, y unos investigadores acaban subiendo código al repositorio interno de OpenAI. El detalle que escuece no es la cuenta de ChatGPT en sí: es que esa cuenta tiene las llaves de Outlook, Slack y GitHub, como un manojo pegado generosamente en la puerta de entrada. Hemos pasado dos años pidiéndoles a los asistentes de IA que se conecten a todo, y descubrimos con emoción que "conectado a todo" también significa "comprometido en todas partes". Cuando el agente tiene los permisos de un compañero, robarlo equivale a contratar a un intruso con credencial.
Para recordar
- 1
s1r1us anuncia públicamente haber comprometido cuentas ChatGPT y Codex el 25 de julio, incluidas las de empleados de OpenAI y algunos usuarios no afiliados.
- 2
Dos vulnerabilidades encadenadas bastaban para lograr una toma de control de cuenta (account takeover).
- 3
El compromiso no se detenía en ChatGPT: daba acceso a los servicios conectados, citándose Outlook, Slack y GitHub.
- 4
La prueba de impacto es un pull request depositado en el codebase interno de OpenAI.
- 5
Toda la cadena de explotación habría tomado menos de 72 horas.
- 6
El hilo se publica después de los hechos, lo que sugiere una divulgación coordinada con corrección, aunque el tuit inicial no lo precisa.
Lo que dice el anuncio
El mensaje inicial del hilo es claro: "On July 25, we hacked OpenAI." Dos bugs, explotados en cadena, habrían permitido tomar el control de cuentas ChatGPT y Codex pertenecientes a empleados de OpenAI, así como a algunos usuarios sin relación con la empresa.
El alcance anunciado va más allá del propio producto. Una vez tomada la cuenta, los investigadores afirman haber alcanzado los servicios conectados a ella: Outlook, Slack, GitHub, dejando la lista explícitamente abierta con un "etc.".
La demostración final es la parte más elocuente para un ingeniero: un pull request depositado en el codebase interno de OpenAI. Ya no es una captura de pantalla de una sesión robada, es una acción escrita en el sistema de producción de una empresa. Todo en menos de 72 horas.
Por qué una cuenta Codex no es una cuenta cualquiera
Una cuenta ChatGPT clásica da acceso a un historial de conversaciones, lo cual ya es sensible. Una cuenta Codex, en cambio, es una cuenta de desarrollo: está conectada a repositorios de código, ejecuta tareas, produce commits.
La diferencia es fundamental en términos de modelo de amenaza. Robar una sesión de chatbot es exfiltración de datos. Robar una sesión de agente de código es obtener capacidad de acción dentro del perímetro de la empresa, con los permisos de un empleado.
Eso es exactamente lo que materializa el pull request citado en el hilo. La pregunta ya no es "qué pudo leer el atacante", sino "qué pudo escribir el atacante".
El verdadero culpable: la superficie de los conectores
Desde hace dos años, la industria empuja al asistente de IA al centro del puesto de trabajo. Se le conecta el correo, el chat interno, el gestor de código, el drive, el CRM. Cada conector es un token de acceso más almacenado detrás de una sola identidad.
Esta arquitectura concentra el riesgo de forma espectacular. La cuenta del asistente se convierte en un punto de convergencia de autorizaciones que, históricamente, estaban separadas entre varias herramientas y varios procedimientos de autenticación.
El anuncio de s1r1us da un caso concreto a esta preocupación teórica: dos bugs de aplicación, y la cadena se propaga desde el asistente hasta Outlook, Slack y GitHub. La seguridad del conjunto se reduce a la seguridad del eslabón de autenticación más débil.
Lo que el tuit no dice
El mensaje inicial no detalla la naturaleza técnica de las dos vulnerabilidades, ni el vector inicial exacto, ni el número preciso de cuentas afectadas. Tampoco menciona una respuesta oficial de OpenAI, ni un monto de bug bounty.
El hecho de que la publicación llegue mucho después del 25 de julio es el indicio habitual de una divulgación responsable: los investigadores reportan, el editor corrige, el hilo sale después. Pero mientras no se adjunte confirmación pública, esto sigue siendo una lectura probable y no un hecho establecido por la fuente.
En esta etapa, hay que tratar el anuncio por lo que es: el relato de primera mano de un equipo de investigadores, con una prueba de impacto contundente y detalles técnicos remitidos a la continuación del hilo.
“On July 25, we hacked OpenAI.”
“We proved it with a PR in OpenAI's internal codebase. It took us <72h.”
Por qué importa
El sector lleva meses discutiendo los riesgos "de IA" de forma abstracta: prompt injection, alucinaciones, alineamiento. Este episodio devuelve el tema a una realidad mucho más mundana y mucho más peligrosa: la seguridad aplicativa clásica. Dos bugs de autenticación bastan para transformar un asistente en una puerta de entrada hacia el correo, el chat interno y el código fuente de una de las empresas más vigiladas del mundo. El punto crítico no es el modelo, es el perímetro de autorizaciones que se le ha confiado. Mientras los agentes acumulen los accesos de un empleado sin sufrir sus controles (revisión de accesos, MFA en cada servicio, segmentación), cada fallo de autenticación en el asistente será mecánicamente un fallo en toda la empresa. Para los CIO que despliegan Codex, Copilot o equivalentes internamente, la lección es directa: auditar los conectores antes de auditar los prompts.
Sigue leyendo
IAHoyGPT-6 Astra: OpenAI cruza el umbral «Critical» en ciberseguridad
La system card del nuevo modelo de OpenAI certifica un hito inédito — y admite, por escrito, que un modelo que quisiera hacer trampa en las evaluaciones probablemente pasaría desapercibido.
IAAyer10.000 agentes, 88 horas, un problema del milenio
Noam Brown (OpenAI) describe el escalado de enjambres de agentes — y por qué el alineamiento se ha convertido en el único cuello de botella que realmente le preocupa.
IAAyerOpenAI publica sus fallos de alineación — y un marco para seguir adelante
Seis incidentes de comportamiento desviado, un proceso de divulgación interno y una confesión: la industria no ha resuelto la alineación.