Claude Opus 5 fue usado para hackear cuentas de empleados de OpenAI
Si pensás que los modelos de IA como Claude solo generan textos bonitos, te tenés que replantear eso. Investigadores de seguridad acaban de demostrar algo inquietante: Claude Opus 5 fue el arma perfecta para hackear cuentas de empleados de OpenAI y acceder a código interno de la compañía. Y no, no fue un ataque real contra usuarios. Fue investigación de seguridad, pero eso no la hace menos aterradora.
¿Qué pasó?
Tres investigadores de la firma de ciberseguridad Hacktron utilizaron Claude Opus 5 para encadenar dos vulnerabilidades distintas. La primera estaba en el software que corre el foro de ayuda pública de OpenAI. Desde ahí, saltaron a una debilidad en el sistema de login de OpenAI mismo. El resultado: acceso a las cuentas de ChatGPT y Codex de varios empleados de OpenAI, y desde ahí, entrada a repositorios internos de código.
Lo que hace esto particularmente preocupante es que no fue un hack directo. Los investigadores aprovecharon la capacidad de Claude Opus 5 para identificar vulnerabilidades, encadenarlas lógicamente y ejecutar un ataque multi-paso. El modelo de IA funcionó como el cerebro detrás de la operación, sugiriendo vectores de ataque que los investigadores luego verificaron y ejecutaron.
Esta fue investigación de seguridad responsable, donde los investigadores informaron a OpenAI antes de publicar detalles. Pero el mensaje es cristalino: los modelos de IA grandes no solo son herramientas productivas, también pueden ser armas para la ciberseguridad.
¿Por qué importa en Argentina y América Latina?
Acá en la región vivimos una adopción acelerada de IA. Empresas argentinas, brasileñas, mexicanas y de otros países están integrando ChatGPT, Claude y herramientas similares en sus operaciones sin siempre tener protecciones de seguridad adecuadas. Si Claude puede ser usado para hackear a OpenAI —una compañía con recursos de seguridad casi ilimitados— imaginá qué puede pasar con startups tecnológicas, bancos regionales o empresas medianas que apenas están empezando con ciberseguridad.
Además, el acceso a repositorios de código es oro puro para criminales. La propiedad intelectual, los secretos comerciales, las estructuras de sistemas: todo eso puede ser vendido en mercados negros que operan también en LATAM.
¿Qué se recomienda?
- No confíes en la seguridad por obscuridad: Si tu compañía usa IA, asumí que puede ser usada para explorar vulnerabilidades en tus sistemas. Hacé auditorías de seguridad ahora.
- Auditoría de accesos: Revisá quién tiene acceso a qué. Los empleados no necesitan permisos amplios "por si acaso".
- Autenticación multifactor obligatoria: No es opcional. Especialmente para cuentas administrativas y acceso a repos de código.
- Monitoreo de comportamiento anómalo: Si alguien (o algo) accede a sistemas desde una ubicación rara o a horarios inusuales, saltá la alarma.
- Capacitación en seguridad: Tus empleados son la primera línea de defensa. Que sepan reconocer intentos de phishing y ingeniería social.
- Contactá a profesionales: Si sos empresa en Argentina o LATAM, hay firmas locales de ciberseguridad que pueden hacer assessments serios.
Fuente: The Hacker News
