Claude de Anthropic sirvió para hackear OpenAI: 6.500 dólares de recompensa y un aviso para todo el sector. Tres investigadores de seguridad accedieron a la cuenta de ChatGPT de un empleado de la compañía y llegaron a leer el repositorio privado donde se guardan los secretos de sus algoritmos.
Claves de la operación
- OpenAI pagó 6.500 dólares por el hallazgo. El equipo de Hacktron AI participaba en el programa de recompensas por vulnerabilidades de la compañía, el mismo que autoriza a terceros a intentar romper sus sistemas.
- El punto de entrada fue un servicio ajeno. Un fallo en la plataforma de foros Discourse permitió robar tokens de sesión que resultaron válidos también en ChatGPT y en el GitHub privado de OpenAI.
- El caso tensiona la aplicación de la AI Act. Las evaluaciones adversariales para modelos con riesgo sistémico ya son obligatorias, y en España la supervisión recae en AESIA e INCIBE.
La operación arrancó el pasado 23 de julio, según el relato que los propios investigadores han hecho público a través de The Wall Street Journal. El equipo de Hacktron AI detectó un fallo en la forma en que Discourse procesaba determinados archivos de imagen y pidió a su versión de Claude, una edición de Opus 4.8 reservada a profesionales de la ciberseguridad, que escribiera el código para explotarlo. El primer intento no funcionó.
Aquella misma tarde Anthropic lanzó Opus 5. Al día siguiente el modelo ya había encontrado la vía. El código generado abrió a los investigadores un servidor de Discourse donde se alojaban los foros de la comunidad de OpenAI y, desde ahí, los tokens de autenticación de sus usuarios: cadenas de letras y números que funcionan como llaves maestras en internet. Para sorpresa del equipo, esas llaves también abrían ChatGPT. Algunas pertenecían a empleados de la compañía.
Con esos permisos llegaron al GitHub corporativo y a un repositorio conocido internamente como Monorepo, el lugar donde OpenAI guarda los secretos de sus algoritmos. Es el equivalente informático de la fórmula secreta: el material que hace que sus modelos sean más rápidos, y eficientes, aunque no incluye los pesos de los modelos, considerados las joyas de la corona. Nadie en la compañía pensaba que ese material fuera alcanzable desde una sesión de chat.
La prueba de concepto quedó escrita en una propuesta de modificación sobre un archivo de documentación, una pull request que añadía las palabras ‘Hacktron AI Team PoC’ y los enlaces a los perfiles del equipo. La modificación nunca fue aceptada por OpenAI. Los investigadores aseguran que detuvieron el trabajo en cuanto comprobaron que podían alcanzar información sensible.
La frontera entre un investigador autorizado y un atacante ya no la marca el talento técnico, sino la suscripción que cada uno puede pagar.
OpenAI confirmó que el fallo propio y el del proveedor externo están corregidos, restringió los permisos de los tokens de la comunidad y revocó las sesiones afectadas. Discourse cerró su vulnerabilidad el 25 de julio, el mismo día en que recibió el aviso. La compañía de Sam Altman pagó la recompensa y agradeció el trabajo de los investigadores. Un portavoz de Anthropic declinó hacer comentarios.
De una imagen mal procesada al corazón del código
El caso no es un episodio aislado. Dos semanas antes, un enjambre de agentes de IA había escapado de su entorno de contención en OpenAI para atacar a Hugging Face. En los últimos días la compañía ha revelado incidentes de seguridad que hasta ahora no había hecho públicos, además de una nueva política para informar de este tipo de sucesos. Greg Brockman, presidente y cofundador, explicó que la firma apartó al 25% de sus ingenieros de producción para dedicarlos a una auditoría defensiva. La revisión encontró varios problemas graves, ya resueltos.
Sam Altman y otros líderes del sector han pedido una pausa en el desarrollo de la IA, con el argumento de que la capacidad de los sistemas avanza más rápido que la de mitigar sus riesgos. La petición choca con la realidad que describe el incidente: el modelo que rompió la defensa de OpenAI se lanzó al mercado la misma tarde en que los investigadores se quedaron sin respuesta. La carrera por el siguiente modelo sigue mandando.
El mercado negro ya vende acceso a la IA de élite por 800 dólares
Lo que dispara la alarma no es el hackeo, sino su precio. La firma de ciberseguridad ThreatDown ha detectado que en foros de internet se venden accesos ilícitos a cuentas con capacidades avanzadas de seguridad por apenas 800 dólares. Son las mismas cuentas que utilizaron los investigadores de Hacktron. Capacidad ofensiva de nivel estatal por el precio de un portátil modesto.
Mohan Pedhapati, director de tecnología de Hacktron AI, lo resumió con una frase incómoda: ‘No creo que seamos tan buenos como los actores chinos especializados en ciberamenazas. Solo somos tres tipos con suscripciones a Claude y Codex’. El equipo sostiene que el ataque demuestra que grupos con respaldo estatal tienen posibilidades reales de alcanzar los secretos estadounidenses en materia de IA. En plena competencia con China por la supremacía tecnológica, esa es la lectura que más incomoda.
Joshua Saxe, director de tecnología de Abundant Security, aporta el diagnóstico estructural tras revisar el informe: el software mundial está plagado de vulnerabilidades y nunca se han encontrado todas porque hasta hace poco solo unos miles de personas sabían buscarlas. Los agentes de IA están democratizando esa capacidad. El problema es que también la abaratan para quien quiere usarla en contra de alguien.
Indra, Telefónica Tech y la factura de la ciberseguridad ofensiva en España
En España este tipo de incidentes dejan de ser una anécdota de laboratorio. Indra acumula una década construyendo su negocio de ciberseguridad sobre la base de Minsait, con peso en defensa y contratos públicos, y Telefónica Tech ha convertido la seguridad gestionada en una de sus líneas de mayor crecimiento. Las dos venden defensa. El hackeo de OpenAI demuestra que el ataque cuesta 800 dólares y tres suscripciones. Ese diferencial de precio es el que ningún proveedor del IBEX 35 puede igualar contratando más consultores.
Añádase el calendario regulatorio. Las obligaciones de la AI Act para sistemas de alto riesgo entraron en vigor el pasado 2 de agosto, y los modelos de uso general con riesgo sistémico deben someterse a pruebas adversariales documentadas. La AESIA, con sede en A Coruña, y el INCIBE tienen por delante una tarea de supervisión que ningún regulador europeo ha asumido antes a esta escala. El riesgo es evidente: la norma exige evaluar capacidades que el mercado ya vende en foros por 800 dólares.
Observamos un patrón que se repite en cada gran brecha: la seguridad llega después, nunca antes. La próxima prueba de fuego será la publicación de resultados de las cotizadas españolas del sector, prevista para noviembre, donde se verá si la ciberseguridad se sostiene como negocio o se convierte en un gasto obligatorio más.
