Detectan vulnerabilidades en OpenAI que permitían acceder a cuentas de ChatGPT y Codex
Hackers éticos detectaron dos vulnerabilidades que permitían acceder a cuentas de ChatGPT y Codex de empleados de OpenAI; ya fueron corregidas.
El grupo de hackers éticos de Hacktron AI encontró dos vulnerabilidades con las que pudieron acceder a cuentas de ChatGPT y Codex de algunos empleados de OpenAI, las cuales ya fueron arregladas.
El usuario de X s1r1us explicó que, el pasado 23 de julio, lograron encontrar una vulnerabilidad en el sistema de procesamiento de imágenes de Discourse, el software de terceros que aloja el foro de la comunidad de OpenAI.
Dicha vulnerabilidad fue encontrada gracias al modelo de Anthropic Claude Opus 4.8 que, incluso, creó un exploit parcial para aprovecharla, pero no tuvo éxito.
Fue hasta el día siguiente, tras haberse lanzado Claude Opus 5, que lograron cambiar el modelo y generar un exploit, en cuestión de horas, que fue funcional y permitió robar tokens de autenticación activos.
Aprovechando esta vulnerabilidad, convertimos nuestra vulnerabilidad en el foro Discourse en acceso a las cuentas de ChatGPT y Codex pertenecientes a personas que habían iniciado sesión, incluidos empleados de OpenAI”, detalló s1r1us.
Para el hacker, el segundo fallo fue más grave porque encontraron una vulnerabilidad de inicio de sesión único en OpenAI y, aprovechando esto, lograron acceso a cuentas de ChatGPT y Codex pertenecientes a usuarios que habían iniciado sesión, incluyendo empleados de la tecnológica.
Además, esas cuentas podían conectarse a Outlook, Gmail, Google Drive, Slack, GitHub y otros servicios a través de Codex o ChatGPT.
Esto último hizo que el impacto potencial fuera mucho mayor que el de ChatGPT por sí solo, sin olvidar que todo el proceso de vulneración duró menos de 72 horas.
Hacktron AI informó del error a Discourse que tardó cerca de un día en solucionarlo, mientras que OpenAI lo arregló en aproximadamente 14 horas después del informe inicial y otorgó al grupo de hackers éticos 6 mil 500 dólares por haber encontrado la falla.
La principal conclusión que extrajimos del hackeo de OpenAI es que la inteligencia artificial está reduciendo la cantidad de conocimientos especializados necesarios para desarrollar exploits. El trabajo que antes llevaba meses ahora puede completarse en días. Incluso los laboratorios de inteligencia artificial más importantes pueden ser vulnerables”, aseguró s1r1us.
Por eso, el hacker ético recomendó a los defensores mejorar la arquitectura.