Por Canuto  

OpenAI se alió con Hacktron para buscar fallas en las conexiones entre sus sistemas y servicios de terceros, un área que cobró relevancia tras una cadena de vulnerabilidades reportada por la firma. La colaboración también contempla ampliar el acceso de Hacktron a modelos de ciberseguridad, bajo controles para limitar las pruebas a trabajos autorizados.
***

  • OpenAI y Hacktron definirán conjuntamente qué conexiones entre aplicaciones, sistemas de identidad e infraestructura priorizar en sus pruebas.
  • Hacktron afirmó que en julio de 2026 encadenó dos vulnerabilidades para acceder a cuentas de empleados de OpenAI y demostrar una integración con GitHub.
  • La colaboración prevé acceso a modelos de ciberseguridad de Daybreak Red, sujeto a verificación, monitoreo, permisos acotados y supervisión humana.

La alianza se concentra en las vulnerabilidades que pueden aparecer cuando aplicaciones, sistemas de identidad e infraestructura quedan conectados, mientras los agentes de inteligencia artificial amplían las formas de interacción entre servicios.

Pruebas centradas en servicios conectados

OpenAI anunció el 6 de noviembre de 2026 una asociación con Hacktron para buscar vulnerabilidades en sus sistemas, con especial atención a las conexiones con servicios de terceros. La empresa indicó que sus ingenieros y los investigadores de seguridad de Hacktron elegirán en conjunto las áreas prioritarias, para enfocar las pruebas en escenarios relevantes para sus sistemas. Según el anuncio, las lecciones obtenidas servirán para fortalecer las defensas de OpenAI.

El trabajo examinará cómo interactúan los sistemas cuando los agentes de IA conectan servicios de nuevas maneras, una dinámica que puede involucrar aplicaciones, mecanismos de identidad e infraestructura. El objetivo declarado es estudiar los riesgos que surgen en los puntos de unión entre componentes, además de buscar fallas aisladas en productos individuales.

Las integraciones permiten que una aplicación interactúe con otras plataformas, pero también crean rutas de acceso que deben evaluarse como un conjunto. En este caso, la investigación pondrá atención en las debilidades que pueden aparecer cuando se vinculan aplicaciones, sistemas de identidad e infraestructura.

La alianza amplía una relación iniciada a través del programa Security Bug Bounty de OpenAI, que recompensa el reporte responsable de vulnerabilidades. La compañía dijo que le impresionó el impacto de los hallazgos identificados y divulgados por Hacktron. La firma desarrolla agentes de IA para revisión de código, pruebas de penetración y ejercicios de red teaming, según la información publicada por Unite.AI.

La cadena de vulnerabilidades reportada por Hacktron

Hacktron afirmó que sus investigadores encadenaron dos vulnerabilidades críticas en julio de 2026 y comprometieron cuentas de ChatGPT de varios empleados de OpenAI. Según el relato publicado por la firma, ese acceso podía abrir una ruta hacia repositorios internos y otros servicios conectados, aunque la demostración descrita no consistió en leer código interno sensible. En su cronología, Hacktron sitúa el inicio de la investigación el 23 de julio, cuando identificó un desbordamiento de memoria en la ruta de carga de imágenes de Discourse.

La cadena, de acuerdo con la investigación de Hacktron, combinó ejecución remota de código en el procesamiento de imágenes del foro comunitario alojado en Discourse con un problema relacionado con el inicio de sesión único de OpenAI. La firma sostuvo que la combinación permitió trasladar el acceso desde el foro hacia ChatGPT y Codex, y luego alcanzar una integración conectada con GitHub. La cronología de Hacktron describe así un caso que involucró varios servicios, no solo una vulnerabilidad en una aplicación individual.

Para demostrar el acceso sin consultar código interno sensible, Hacktron afirmó que utilizó la cuenta de Codex de un empleado para crear una solicitud de cambios inofensiva en el monorepositorio interno de OpenAI. La firma indicó que detuvo las pruebas después de esa demostración. También señaló que reportó los problemas a través del programa Bugcrowd de OpenAI y a Discourse, las dos partes involucradas en la cadena que describió.

La cronología difundida por Hacktron dice que OpenAI confirmó una solución aproximadamente 14 horas después del informe inicial, mientras que Discourse tuvo lista una corrección dos días después de recibir su reporte. Hacktron indicó que OpenAI le pagó una recompensa de USD 6.500 el 1 de septiembre de 2026. Según la aclaración que la firma atribuye a OpenAI, el premio reconoció el hallazgo del lado de la compañía y no las pruebas contra el foro alojado en Discourse, que estaba fuera del alcance.

Daybreak Red y los límites del trabajo autorizado

La asociación también amplía el acceso de Hacktron a modelos de ciberseguridad mediante Daybreak Red, la oferta de OpenAI para investigación autorizada de vulnerabilidades y pruebas de seguridad. La compañía presentó Daybreak Red el 10 de agosto de 2026 y lo describió como acceso a modelos entrenados específicamente para tareas autorizadas de investigación de vulnerabilidades.

OpenAI indicó que los equipos que realizan trabajo autorizado de investigación avanzada de vulnerabilidades, desarrollo de exploits o red teaming pueden solicitar acceso a Red. La colaboración con Hacktron contempla controles como verificación, monitoreo, permisos acotados y supervisión humana para limitar el trabajo a pruebas autorizadas.

Hacktron también señaló que su investigación no fue completamente autónoma y que la guía humana especializada siguió siendo importante. Esa precisión aporta contexto a una colaboración que combina modelos con capacidades cibernéticas y agentes diseñados para automatizar tareas de análisis y pruebas. El valor defensivo de la iniciativa dependerá de equilibrar el acceso para investigar fallas con un alcance definido y supervisión humana.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados