HEIF Heist, el ataque que empezó con una imagen y llegó hasta OpenAI

Una imagen suele parecer uno de los contenidos más inofensivos que podemos subir a Internet. La vemos, la enviamos y seguimos adelante, mientras el servidor se ocupa por detrás de identificarla, convertirla o generar una miniatura. HEIF Heist demuestra hasta qué punto esa aparente sencillez puede ser engañosa. Una investigación de Hacktron AI sobre el procesamiento de imágenes HEIF, HEIC y AVIF terminó descubriendo vías para comprometer servicios de algunas de las mayores tecnológicas del mundo, entre ellas OpenAI, Slack, Meta y GitHub. Y todo empezaba con algo tan cotidiano como subir una imagen especialmente preparada.

HEIF Heist no designa una única vulnerabilidad, sino una familia de caminos de ataque relacionados con componentes nativos encargados de decodificar esos formatos. En el centro aparecen bibliotecas como libheif y libde265, que pueden llegar a una aplicación indirectamente a través de herramientas como ImageMagick, libvips o Sharp. Hacktron comenzó investigando un fallo que permitía ejecutar código de forma remota en Discourse y decidió seguir el rastro de esa misma cadena de procesamiento. Lo que inicialmente era un caso concreto terminó convirtiéndose en una investigación de varios meses que alcanzó plataformas de comunicación, servicios cloud, productos empresariales y frameworks web muy utilizados.

El problema estaba, por tanto, bastante más abajo de lo que normalmente ve una aplicación. Cuando un servicio acepta una imagen HEIC, HEIF o AVIF, puede enviarla a una de estas bibliotecas escritas en C o C++ para procesarla. Un archivo manipulado puede aprovechar errores de memoria en ese punto y provocar desde filtraciones de información hasta ejecución remota de código. Los investigadores llegaron incluso a identificar familias de versiones utilizadas por un servidor mediante sucesivos archivos y adaptar después el ataque al entorno encontrado. No era pulsar un botón y entrar: algunos intentos necesitaron miles de imágenes antes de funcionar. Pero una vez automatizado buena parte del proceso, esa barrera empezó a reducirse de manera considerable.

OpenAI ofrece probablemente el ejemplo más espectacular. Hacktron comenzó el 23 de julio estudiando cómo el foro community.openai.com, basado en Discourse, procesaba imágenes HEIF y descubrió que terminaban pasando por ImageMagick y una versión vulnerable de libheif. Tras conseguir ejecución remota de código, los investigadores encadenaron ese fallo con una configuración problemática del sistema de inicio de sesión de OpenAI y lograron acceder a cuentas corporativas de ChatGPT y Codex. Una de ellas tenía conectado GitHub, lo que les daba acceso potencial a repositorios internos. Para demostrarlo sin examinar información sensible, pidieron al Codex del empleado que creara una inocua solicitud de cambios en el monorepo privado de OpenAI y detuvieron ahí las pruebas. No accedieron a los pesos de los modelos ni inspeccionaron sus algoritmos internos. OpenAI corrigió el problema y recompensó el hallazgo con 6.500 dólares.

Hay otro elemento que hace especialmente interesante HEIF Heist: la inteligencia artificial también estuvo al otro lado del ataque. Los investigadores utilizaron primero Claude Opus 4.8 para analizar el entorno y localizar el fallo, aunque el modelo tuvo dificultades para producir un exploit fiable con las protecciones de memoria activadas. Horas después del lanzamiento de Opus 5 volvieron a plantearle el problema y consiguieron avanzar hasta una explotación funcional. En la investigación más amplia también utilizaron GPT-5.6 Sol, que redujo todavía más el tiempo necesario para adaptar los ataques a sistemas de los que inicialmente conocían muy poco. Hacktron insiste en que no fue un hackeo completamente autónomo y que la dirección de especialistas humanos siguió siendo imprescindible, pero la escala resulta reveladora: tres investigadores completaron la campaña en unos dos meses gastando menos de 3.000 dólares en tokens.

OpenAI era solo una parada del recorrido. Hacktron documentó ejecución remota de código en Slack con capacidad potencial para filtrar archivos, problemas en la infraestructura de Meta relacionados con la subida de imágenes, ejecución de código autenticada en GitHub Enterprise y una vía sin autenticación en Next.js vinculada a su sistema de optimización de imágenes AVIF, además de otros frameworks y aplicaciones. La propia naturaleza de HEIF Heist explica semejante alcance: muchas aplicaciones aparentemente independientes terminan dependiendo de los mismos componentes situados varios niveles por debajo. Los fallos fueron comunicados a los responsables afectados y se han publicado actualizaciones y medidas adicionales de aislamiento para reducir esta superficie de ataque.

Quizá eso sea lo más inquietante —y también lo más interesante— de HEIF Heist. La historia empieza con una imagen porque, en realidad, una imagen nunca es solo una imagen para el servidor que tiene que procesarla. Debajo hay una torre de dependencias y código que rara vez vemos hasta que algo falla. A esa vieja realidad del software se suma ahora otra mucho más reciente: la IA está reduciendo drásticamente el tiempo y el trabajo necesarios para convertir determinados fallos en ataques funcionales. La misma tecnología que está obligando a reforzar las defensas también empieza a cambiar cuánto puede hacer un pequeño equipo de investigadores cuando decide buscar dónde están las grietas.

Más información