Investigadores invadieron OpenAI. El arma fue Claude.
El 23 de julio de 2026, un equipo independiente probaba el programa de vulnerabilidades de OpenAI. Le pidieron a Claude escribir el exploit de una falla conocida. No lo logró.
Aquella noche, Anthropic lanzó el Opus 5. A la mañana siguiente, el Claude encontró el camino: el código que generó abrió el foro de OpenAI y entregó tokens válidos en ChatGPT, algunos de funcionarios.
El detalle que duele: la corrección existía, el CVE no
La falla explotada ya tenía corrección disponible, pero nunca ganó número de CVE. Sin el registro oficial, el software seguía corriendo la versión vulnerable: los scanners no veían, el inventario no listaba, el equipo de patch no priorizaba.
La puerta estaba trancada en el papel y abierta en la práctica. Es el problema más subestimado de la cadena de vulnerabilidades: la corrección que no entra en el registro oficial no entra en ninguno de los sistemas que defienden. Es el mismo patrón del controlador de identidad: el activo que decide quién entra siendo el menos vigilado, ahora con el agravante de que la vigilancia dependía de un registro que no existía.
La velocidad es la lección estructural
Entre la incapacidad y la invasión, la distancia fue de una noche y un lanzamiento de modelo.
Eso invalida la regla tácita de que el arsenal ofensivo cambia despacio. Los modelos ofensivos mejoran en la cadencia de los lanzamientos, y el programa de vulnerabilidades de la propia OpenAI sirvió de demostración: la misma tarea, el mismo modelo de base, resultados opuestos separados por un release. Quien defiende a la velocidad de ayer ya perdió por desfase, no por falta de presupuesto.
La simetría también vale: la misma fuerza está disponible para el defensivo. Pedirle a un modelo que ataque el propio ambiente, en espejo aislado y con alcance probado, encuentra el camino antes de quien no va a pedir licencia.
El bounty desalineado con el riesgo
OpenAI pagó 6.500 dólares de recompensa. Barato, considerando el alcance: con esos tokens, el camino llevaba a GitHub, Slack y correos internos de la empresa de IA más valiosa del planeta.
Bounty calibrado por el tamaño del reporte en vez del tamaño del riesgo atrae volumen, no profundidad. El programa de recompensas es parte de la defensa: poner precio al alcance real del hallazgo es lo que trae al investigador correcto antes del grupo equivocado, y el caso muestra cuál es la diferencia entre los dos.
Conclusión
El caso de OpenAI reúne las tres lecciones del año en una invasión sola: IA ofensiva como estado del arte, CVE no numerada como puerta abierta y bounty desalineado como fricción.
El checklist de respuesta es corto y vale para cualquier organización: numerar toda corrección, exigir registro al proveedor, asumir la cadencia de mejora del arsenal adversario y usar la misma IA en el propio perímetro, con alcance. La invasión de OpenAI costó una noche y un lanzamiento; la defensa cuesta método continuo. Uno de los dos está a la venta.