OpenAI recibió reportes de dos vulnerabilidades críticas en su sistema, luego de que un grupo de investigadores lograra acceder a cuentas de empleados y su repositorio privado a fines de julio de 2023.
El equipo de Hacktron AI, conformado por Harsh Jaiswal, Mohan Pedhapati y Rahul Maini, identificó las fallas en las plataformas ChatGPT y Codex, accediendo a cuentas mediante brechas de seguridad en los servicios de la empresa.
Investigadores accedieron a cuentas de empleados y repositorio privado
Entre el 23 y 25 de julio, los especialistas aprovecharon una vulnerabilidad en el sistema de procesamiento de imágenes del foro community.openai.com, el cual funciona sobre Discourse y utiliza ImageMagick junto a la biblioteca libheif.
Esta vulnerabilidad permitía ejecutar instrucciones en el servidor tras procesar imágenes con configuraciones específicas. Además, detectaron un error en los permisos del proceso de inicio de sesión con OpenAI, lo que amplió su acceso a cuentas vinculadas.
El ataque se concretó usando la opción de iniciar sesión con OpenAI, que generaba credenciales conocidas como tokens. Esos tokens otorgaban a los usuarios acceso a recursos más allá de lo necesario, incluyendo perfiles asociados en ChatGPT y Codex.
Tras controlar el servidor de Discourse, los investigadores lograron ingresar a la cuenta de un empleado que utilizaba Codex conectado a GitHub corporativo. En ese contexto, ordenaron al asistente de IA realizar una propuesta de cambio en el repositorio interno openai/openai, demostrando la capacidad de modificar archivos.
Hacktron AI declaró públicamente que detuvo la prueba después de validar la vulnerabilidad y no examinó el código fuente privado. Posteriormente, OpenAI confirmó que el acceso no se extendió más allá de lecturas limitadas de metadatos y registros de cambios del repositorio.
Respuesta de OpenAI y hallazgos técnicos
OpenAI fue notificada del ataque y resolvió el problema de su sistema de identidad en un plazo de aproximadamente 14 horas. Además, la empresa revocó todas las sesiones afectadas y abonó 6,500 dólares a los investigadores como recompensa por el hallazgo.
El informe de Hacktron AI detalló que, con el apoyo de Claude, de Anthropic, lograron revisar la versión de libheif utilizada en el servidor. Según los investigadores, el modelo detectó que la biblioteca carecía de varias correcciones de seguridad presentes en el proyecto oficial.
La falta de estas medidas permitía un desbordamiento de memoria al procesar ciertas imágenes, facilitando la ejecución remota de código al subir archivos manipulados. Los especialistas pidieron a Claude diseñar una herramienta específica para explotar este fallo y lograron ejecutar instrucciones arbitrarias en el servidor.
El sistema de inicio de sesión era otra debilidad clave: los tokens generados no solo brindaban acceso al foro sino también a otras plataformas relevantes de OpenAI. Esta configuración posibilitó la obtención de privilegios sobre cuentas conectadas, incluidas aquellas con acceso a recursos corporativos como GitHub.
Sam Altman, director ejecutivo de OpenAI, anunció posteriormente una actualización del servicio ChatGPT que ofrecerá personalidades únicas para cada usuario, según sus preferencias y usos individuales.
También lee
