Haz las cuentas: cómo tomamos el control de cuentas de ChatGPT
Los investigadores describen cómo pudieron secuestrar cuentas de ChatGPT mediante un enlace elaborado que abusaba del comportamiento de vista previa web y de primitivas antiguas del navegador como `postMessage`, iframes y JSONP. Los comentaristas critican la postura de seguridad de OpenAI y, en particular, el bounty de 5.000 $ para una vulnerabilidad de clase toma de control de cuentas, argumentando que infravalora la divulgación responsable y puede empujar futuros hallazgos al mercado gris. El hilo se amplía hacia preocupaciones sobre la creciente complejidad del software, implementaciones cuestionables de OAuth y del lado del cliente, y la ironía de que las principales empresas de IA sigan dependiendo de stacks web frágiles y propensos a errores que afirman que sus propios agentes podrían asegurar.
Severidad de la vulnerabilidad y mecánica del ataque
- Los comentaristas ven esto como un problema serio de toma de control de cuentas, especialmente combinado con otras capacidades como el acceso remoto al sistema de archivos mediante sesiones “Work” en la aplicación de escritorio.
- A algunos les sorprende que fallos tan básicos de seguridad web (p. ej.,
postMessagesin validar, mal uso de JSONP, errores de OAuth/state, fugas de referer) aparezcan a esta escala. - Otros aprecian la explicación paso a paso de la cadena de trucos web clásicos (iframes, postMessage, JSONP, etiquetas de imagen), aunque a algunos les resulta confusa o incompleta.
Monto del bug bounty e incentivos
- El bounty de 5.000 $ para una vulnerabilidad P1 de toma de control de cuentas es ampliamente visto como insultantemente bajo, dada la valoración de OpenAI y el impacto potencial.
- Varios argumentan que las recompensas bajas desincentivan la divulgación responsable y pueden empujar a futuros investigadores a vender exploits en privado o en mercados grises.
- Otros señalan que algunas grandes empresas son incluso peores (por ejemplo, corrigen vulnerabilidades sin pagar), y que las compañías pueden mantener deliberadamente bajas las recompensas para limitar los informes entrantes.
- Hay debate sobre si el tamaño del bounty debería reflejar la gravedad frente al esfuerzo del investigador, y sobre si “arreglarlo en absoluto” ya es un gran valor.
Ética: divulgar vs. explotar
- Una parte insiste en informar a los proveedores por deber ético, independientemente del pago o de la riqueza de la empresa.
- Otra parte sostiene que empresas extremadamente poderosas y orientadas al lucro, que además se comportan de forma cuestionable, no merecen una consideración moral especial.
- Se discute la legalidad de vender exploits y si eso constituye facilitación del delito; el consenso es que es arriesgado y depende de los hechos.
LLMs, pruebas de seguridad y calidad de software
- Algunos preguntan por qué los propios “agent swarms” de OpenAI u otros LLM no encontraron este bug; otros dudan de que la IA actual pueda descubrir de forma autónoma problemas tan matizados.
- Varios critican la cultura de ingeniería más amplia de OpenAI (bases de código enormes, exageración de marketing) y piden diseños más simples y seguros, con menor superficie de ataque.
- Hay un debate relacionado sobre si las líneas de código son una métrica significativa de complejidad y de superficie de vulnerabilidad.
Enlaces en correos, phishing y “no hagas clic en enlaces”
- El exploit requiere hacer clic en un enlace, lo que provoca bromas sobre la formación en seguridad que se reduce a “no hagas clic en enlaces”.
- Los comentaristas señalan que los productos de “seguridad” de correo que escanean enlaces pueden visitar automáticamente los enlaces, complicando ese consejo y, a veces, rompiendo flujos de confirmación basados en GET.
Meta: calidad del blog y contenido generado por IA
- Varias personas se quejan de que la entrada del blog parece generada por LLM, escrita más para bots que para humanos.
- Otros subrayan que siguen escribiendo sus propios blogs a mano para mejorar la comprensión y preservar una claridad de nivel humano.