Tres investigadores de seguridad de Hacktron AI detectaron una vulnerabilidad de corrupción de memoria en una librería usada para procesar imágenes en el foro oficial de OpenAI. Aunque hallar la falla fue relativamente sencillo, convertirla en un exploit funcional en un servidor real les presentó un gran reto inicial.
El 24 de julio decidieron aprovechar el modelo de inteligencia artificial Claude Opus 4.8 de Anthropic para desarrollar el exploit. Sin embargo, el sistema solo funcionó con la protección de aleatorización de memoria del sistema operativo desactivada, una condición que no se da en entornos de producción, donde el mecanismo de seguridad logra anular cualquier intento de código malicioso generado por el modelo.
Poco después, Anthropic lanzó Opus 5, una versión de su IA mucho más potente y sofisticada. Con esta nueva herramienta, los investigadores regresaron al trabajo y en apenas tres horas lograron crear un exploit funcional para ARM64, ejecutado sobre un Mac local. Cuatro horas más tarde, habían conseguido ejecutar código de forma remota en un foro de pruebas. 
En menos de tres días desde el comienzo de las pruebas, los expertos habían accedido al repositorio privado de OpenAI en GitHub. Utilizando una cuenta Codex vinculada a un empleado de OpenAI, hicieron un cambio inofensivo en la documentación y abrieron una solicitud de incorporación de cambios (pull request) en el repositorio «openai/openai», dejando patente la magnitud del acceso logrado.
El origen: un fallo en la gestión de imágenes
La vulnerabilidad no estaba en un desarrollo propio de OpenAI, sino en el software de terceros utilizado en la plataforma community.openai.com, que funciona con Discourse, un software de foros muy común en miles de sitios.
En concreto, el problema se hallaba en el manejo de imágenes HEIC y HEIF. Discourse utiliza FastImage para analizar imágenes, pero dado que este no soporta esos formatos, las imágenes se procesan con ImageMagick. Esta herramienta utiliza la biblioteca libheif para decodificar esos formatos y la versión incluida en la imagen base Debian 12 del foro (1.19.7) contenía un error de desbordamiento de búfer que un archivo malicioso podía explotar.
El fallo había sido corregido en una versión posterior de libheif, pero esa actualización nunca se incorporó al paquete Debian que utiliza el foro, ya que el arreglo no fue reportado como una corrección de seguridad ni recibió una alerta CVE, por lo que permaneció vulnerable.
Los investigadores adaptaron el exploit para la configuración x86-64 y el asignador de memoria jemalloc usado por Discourse, logrando con una imagen HEIC manipulada la ejecución remota de código.
Discourse confirmó posteriormente la vulnerabilidad en el aviso de seguridad GHSA-vhm9-85gw-x335 y asignó a la falla CVE-2026-32882 una gravedad de 8.8 sobre 10 en la escala CVSS.
Un exploit con consecuencias mayores
Conseguir ejecutar código en el foro significaba un problema grave para dicha plataforma, pero el verdadero riesgo fue descubrir que los tokens de inicio de sesión únicos (SSO) emitidos para ese foro tenían permisos desproporcionados. Esto permitió a los atacantes obtener acceso total a la API vinculada a las cuentas de ChatGPT y Codex de varios empleados de OpenAI.
Entre estas, había una cuenta Codex que estaba asociada con el entorno privado de GitHub de la empresa, proporcionando así una vía para visitar repositorios internos confidenciales. Además, algunos accesos podrían haber puesto en riesgo otros servicios corporativos como Slack o correo electrónico.
El equipo de Hacktron decidió detenerse a este nivel, realizando un cambio insignificante en la documentación del repositorio privado y dejando clara la prueba de acceso sin causar daños mayores.
IA como herramienta para desarrollar exploits
Luego, para demostrar el potencial de la inteligencia artificial, ejecutaron la prueba casi en piloto automático. Configuraron a Claude para que, en un bucle autónomo, tuviera el objetivo y el tiempo necesario para explotar una instancia propia del foro Discourse.
Con esta metodología, el modelo consiguió por sí solo la ejecución remota, demostrando acceso dentro del contenedor al leer el archivo /etc/hosts. Una condición necesaria para que Opus 5 aceptara producir código de ataque fue engañarlo para que copiara un entorno tipo concurso de hacking (CTF), ya que rechazaba generar exploits contra hosts remotos sin ese contexto.
La explotación de vulnerabilidades por corrupción de memoria tradicionalmente requiere un profundo conocimiento en ingeniería inversa, estructuras de memoria y mecanismos del sistema operativo, además de enfrentarse a protecciones robustas. Este experimento muestra que una parte significativa de esa labor puede automatizarse ahora con inteligencia artificial, borrando así la línea que separa la investigación en seguridad del desarrollo de exploits desde la perspectiva de la IA.
Cadenas completas de ataque y recompensas
En resumen, la cadena de ataque que permitió el acceso fue la siguiente: carga de imagen HEIF maliciosa → desbordamiento en libheif → ejecución de código en el foro → tokens SSO con demasiados permisos → acceso a cuentas ChatGPT/Codex de empleados → acceso a repositorios privados de GitHub → apertura de solicitud de cambios en el repositorio «openai/openai».
Este hallazgo fue parte de un proyecto mayor denominado «HEIF Heist», donde durante aproximadamente dos meses el equipo exploró la infraestructura de procesamiento de imágenes en múltiples plataformas tecnológicas, invirtiendo menos de 3.000 dólares en tokens para modelos de IA.
OpenAI recompensó con 6.500 dólares a Hacktron por el error que permitió la toma de control de cuentas. Además, la empresa ha restringido los permisos de los tokens de inicio de sesión del foro y revocado las sesiones comprometidas.
