Un equipo de tres investigadores independientes de Hacktron asegura haber comprometido cuentas de empleados de OpenAI en menos de 72 horas con la ayuda de Claude Opus 4.8 y Claude 5. La información, adelantada por The Wall Street Journal y recogida por The Verge, convierte el episodio en una nueva advertencia sobre el uso ofensivo de los modelos de IA y la fragilidad de las identidades corporativas.
El objetivo fue el repositorio GitHub conocido como Monorepo, donde, según fuentes citadas por el diario estadounidense, OpenAI custodiaría parte de sus secretos algorítmicos. Los investigadores aseguran que no llegaron a consultar el código interno, pero enviaron una pull request desde la cuenta de Codex de un empleado para demostrar que habían obtenido acceso. La prueba revela que la identidad comprometida contaba con permisos suficientes para interactuar con infraestructuras críticas de desarrollo.
Según lo relatado, el acceso inicial pasó por Discourse, el servicio externo que aloja parte de la comunidad de OpenAI. Sin una descripción técnica completa, indicadores de compromiso o una prueba de concepto pública, todavía no es posible determinar si la intrusión explotó un fallo concreto, robó una sesión, combinó información expuesta o recurrió a técnicas de ingeniería social. Atribuir el incidente a una única vulnerabilidad sería prematuro.
Lo más llamativo es la velocidad. Claude pudo acelerar tareas que normalmente consumen horas: analizar flujos de autenticación, relacionar servicios, generar hipótesis, redactar instrucciones y automatizar partes del reconocimiento. El resultado no debe interpretarse como un modelo capaz de hackear por sí solo, sino como un sistema que aumenta considerablemente la productividad de un equipo que ya conoce técnicas ofensivas y sabe orientar sus respuestas.
El caso también subraya que el perímetro de seguridad ya no termina en los sistemas propiedad de una empresa. Plataformas comunitarias, proveedores de identidad, integraciones OAuth, herramientas de desarrollo y cuentas de agentes como Codex pueden convertirse en puertas de entrada. Cuando una credencial o sesión válida supera la autenticación, muchos controles perimetrales dejan de distinguir entre un empleado y un atacante.
Monorepo representa un riesgo especialmente sensible porque los repositorios centralizados suelen concentrar código, configuraciones, credenciales embebidas y conocimiento estratégico. Aunque no hay indicios de que se extrajeran secretos de OpenAI, una pull request emitida desde una cuenta legítima demuestra que el acceso fue operativo, no meramente teórico. Además, plantea dudas sobre la segmentación de privilegios y la capacidad para detectar actividad anómala en herramientas de desarrollo.
La respuesta defensiva debe ir más allá del tradicional nombre de usuario y contraseña. Las organizaciones necesitan autenticación resistente al phishing, sesiones de corta duración, políticas de acceso condicional, inventario de tokens y una aplicación estricta del mínimo privilegio. En GitHub, las ramas protegidas, las revisiones obligatorias, los commits firmados y las alertas sobre pull requests inusuales pueden limitar el daño incluso después de comprometer una cuenta.
También resulta esencial monitorizar el comportamiento de agentes de IA con permisos corporativos. Un sistema como Codex puede necesitar acceso a repositorios para trabajar, pero sus acciones deben quedar registradas, acotadas y sujetas a aprobación humana. La misma automatización que acelera el desarrollo puede amplificar una intrusión si un atacante obtiene control sobre sus credenciales.
El episodio recuerda que ni siquiera las compañías que construyen IA están exentas de sufrir ataques potenciados por IA. Claude no es inseguro por ayudar en esta prueba, pero su capacidad ilustra el doble uso de los modelos avanzados: las mismas funciones que aprovechan los equipos de seguridad pueden reducir el coste y el tiempo necesario para un ataque.
Más que una brecha en un modelo concreto, Hacktron ha puesto sobre la mesa un problema sistémico. La seguridad futura dependerá de proteger identidades, proveedores externos y agentes automatizados con la misma intensidad que el código que intentan resguardar.
