Tres personas usaron Claude Opus 5 para entrar a cuentas de empleados de OpenAI
Tres investigadores de la empresa Hacktron usaron Claude Opus 5 para tomar el control de cuentas de empleados de OpenAI. Llegaron a ChatGPT, a Codex y a un repositorio interno de GitHub. Como prueba dejaron un pull request inofensivo, sin leer código ni fusionar nada. OpenAI les pagó US$6.500.
Cómo se encadenaron los dos fallos
La entrada fue una imagen. El foro público de ayuda de OpenAI corría Discourse sobre una versión desactualizada de la librería libheif, la 1.19.7, cuando la corrección ya existía desde mayo en la 1.22.0. El fallo, registrado como CVE-2026-32882, es una lectura fuera de límites que en las bases de datos oficiales aparece descrita como algo que puede hacer caer el programa o filtrar memoria cercana.
Los investigadores encadenaron varios errores de memoria hasta conseguir ejecución de código en el servidor del foro. Discourse calificó el resultado con 8,8 sobre 10.
El segundo fallo no era técnico sino de diseño, y es el que de verdad importa. Ese foro público usaba el mismo sistema de autenticación «Sign in with OpenAI» que las herramientas internas. Con el servidor del foro comprometido, tomar las cuentas de ChatGPT y Codex de los empleados que participaban en él no requirió nada más. Las víctimas no tuvieron que hacer absolutamente nada.
Por qué importa que fuera Claude Opus 5
Este es el detalle que convierte una historia de seguridad en una historia sobre capacidades. El equipo ya lo había intentado con el modelo anterior, Claude Opus 4.8, durante varias sesiones, sin éxito. Con Claude Opus 5, publicado el 24 de julio de 2026, obtuvieron un exploit funcional en cuestión de horas en una sesión nueva. El acceso inicial llegó dentro de las primeras 72 horas.
El costo de toda la campaña más amplia de la que salió este hallazgo estuvo por debajo de 3.000 dólares en consumo de IA. Tres personas, tres mil dólares y un salto de versión entre lo imposible y lo hecho.
Conviene subrayar que esto fue investigación con permiso y divulgación responsable. OpenAI confirmó la corrección el 1 de septiembre y pagó la recompensa, aunque la reconoció específicamente por el hallazgo del lado de OpenAI —el fallo de inicio de sesión compartido—, no por la vulnerabilidad del foro.
Qué significa para América Latina
El inventario de dependencias dejó de ser opcional. El punto de entrada no fue un cero-day exótico: fue una librería con parche disponible desde hacía tres meses en un servidor que nadie consideraba crítico. Cualquier empresa de la región tiene ese mismo servidor: el foro, el blog corporativo, el portal de proveedores. Saber qué versiones corren ahí vale más que cualquier herramienta nueva.
Y el inicio de sesión único necesita fronteras. El error de fondo fue compartir la misma identidad entre un servicio público y herramientas internas. Es comodísimo y lo hacen muchísimas empresas colombianas con Google Workspace o Microsoft Entra. La regla que sale de este caso es simple: el sistema con el que entras a lo interno no debería ser el mismo con el que entra cualquiera a lo público.
Ahora bien, el otro lado también es cierto. Si tres personas con 3.000 dólares pueden hacer esto en una semana, un equipo de seguridad pequeño en Medellín o Lima tiene hoy una capacidad ofensiva de auditoría que hace dos años requería una firma grande. Vale para defender, y es una oportunidad de servicio real para consultoras locales.
Claude Opus 5 y la ventana que se acortó
Lo importante no es el monto de la recompensa ni el prestigio de haberle entrado a OpenAI. Es el cambio de ritmo.
Durante años, el tiempo entre que se publica un parche y que alguien construye un exploit funcional fue el colchón que protegía a quien no actualiza rápido. Ese colchón se está encogiendo, y no porque haya más atacantes: porque construir el exploit cuesta menos. Lo que antes exigía un especialista con semanas disponibles ahora lo hace un modelo en una sesión.
La consecuencia práctica no es alarmista, es aburrida y por eso se ignora: actualizar. Un parche de mayo aplicado en mayo habría dejado esta historia sin primer capítulo.
Sitios oficiales:
Hacktron ·
libheif
Reportado por: The Hacker News — The Register — VentureBeat
Lee también:
Project Lily: los humanos que leen tus chats de ChatGPT
La Agents API de OpenAI entra en beta pública
