Una investigación de Hacktron AI descubre vías de ejecución remota de código en servicios de OpenAI, Slack, Meta y GitHub a través del procesamiento de imágenes HEIF, HEIC y AVIF. El ataque comenzó con una imagen manipulada y llegó a cuentas corporativas de ChatGPT y Codex.
Una imagen especialmente preparada puede ser la puerta de entrada a los servidores de las mayores tecnológicas. La investigación HEIF Heist, llevada a cabo por Hacktron AI, ha documentado cómo el procesamiento de formatos de imagen como HEIF, HEIC y AVIF abre vías para comprometer servicios de OpenAI, Slack, Meta y GitHub, según publica muycomputer.com.
El origen está en bibliotecas nativas como libheif y libde265, que muchas aplicaciones usan de forma indirecta a través de herramientas como ImageMagick, libvips o Sharp. Hacktron empezó investigando un fallo de ejecución remota de código en Discourse y siguió la pista hasta una cadena de procesamiento compartida por plataformas de comunicación, servicios cloud y frameworks web.
El problema se sitúa en capas muy por debajo de lo que ve una aplicación. Cuando un servicio acepta una imagen HEIC, HEIF o AVIF, puede enviarla a una de esas bibliotecas escritas en C o C++ para su decodificación. Un archivo manipulado aprovecha errores de memoria en ese punto y provoca desde filtraciones de información hasta ejecución remota de código. Los investigadores llegaron a identificar familias de versiones del servidor mediante sucesivos archivos y a adaptar el ataque al entorno encontrado. Algunos intentos necesitaron miles de imágenes antes de funcionar, pero la automatización redujo drásticamente esa barrera.
OpenAI es el caso más llamativo. El 23 de julio, Hacktron estudió cómo el foro community.openai.com, basado en Discourse, procesaba imágenes HEIF y descubrió que pasaban por ImageMagick y una versión vulnerable de libheif. Tras conseguir ejecución remota de código, encadenaron ese fallo con una configuración problemática del sistema de inicio de sesión y accedieron a cuentas corporativas de ChatGPT y Codex. Una de ellas tenía conectado GitHub, lo que daba acceso potencial a repositorios internos. Para demostrarlo sin examinar información sensible, pidieron al Codex del empleado que creara una solicitud de cambios inocua en el monorepo privado de OpenAI y detuvieron ahí las pruebas. No accedieron a los pesos de los modelos ni a sus algoritmos internos. OpenAI corrigió el problema y recompensó el hallazgo con 6.500 dólares.
La inteligencia artificial también estuvo al otro lado del ataque. Los investigadores usaron primero Claude Opus 4.8 para analizar el entorno y localizar el fallo, aunque el modelo tuvo dificultades para producir un exploit fiable con las protecciones de memoria activadas. Horas después del lanzamiento de Opus 5 volvieron a plantearle el problema y lograron una explotación funcional. En la investigación más amplia también emplearon GPT-5.6 Sol, que redujo aún más el tiempo para adaptar los ataques a sistemas desconocidos. Hacktron insiste en que no fue un hackeo completamente autónomo y que la dirección de especialistas humanos siguió siendo imprescindible, pero la escala es significativa: tres investigadores completaron la campaña en unos dos meses gastando menos de 3.000 dólares en tokens.
OpenAI fue solo una parada. Hacktron documentó ejecución remota de código en Slack con capacidad potencial para filtrar archivos, problemas en la infraestructura de Meta relacionados con la subida de imágenes, ejecución de código autenticada en GitHub Enterprise y una vía sin autenticación en Next.js vinculada a su sistema de optimización de imágenes AVIF, además de otros frameworks y aplicaciones. La causa es estructural: muchas aplicaciones aparentemente independientes dependen de los mismos componentes situados varios niveles por debajo. Los fallos fueron comunicados a los responsables afectados y se han publicado actualizaciones y medidas adicionales de aislamiento para reducir la superficie de ataque.
También te puede interesar
