{"id":5085,"date":"2026-08-03T12:49:00","date_gmt":"2026-08-03T10:49:00","guid":{"rendered":"https:\/\/okdiario.com\/techy\/?p=5085"},"modified":"2026-08-03T09:06:49","modified_gmt":"2026-08-03T07:06:49","slug":"openai-encuentra-un-fallo-de-seguridad-grave-en-chatgpt-capaz-de-crear-una-ia-interna-con-un-solo-ataque-de-phishing","status":"publish","type":"post","link":"https:\/\/okdiario.com\/techy\/openai-encuentra-un-fallo-de-seguridad-grave-en-chatgpt-capaz-de-crear-una-ia-interna-con-un-solo-ataque-de-phishing\/5085\/","title":{"rendered":"OpenAI encuentra un fallo de seguridad grave en ChatGPT capaz de crear una IA interna con un s\u00f3lo ataque de phishing"},"content":{"rendered":"\n

Un enlace normal de ChatGPT pod\u00eda convertirse en una puerta de entrada. Zenity Labs descubri\u00f3 que una vulnerabilidad en el constructor de Workspace Agents permit\u00eda iniciar la creaci\u00f3n de un agente aut\u00f3nomo controlado por un atacante tras un solo clic en un enlace de phishing, un cebo digital que parec\u00eda leg\u00edtimo. OpenAI corrigi\u00f3 el fallo AgentForger<\/a> el 8 de junio de 2026, antes de que se hiciera p\u00fablico el 23 de julio.<\/p>\n\n\n\n

La amenaza, bautizada AgentForger, no afectaba a cualquier usuario por igual. Para funcionar, la v\u00edctima deb\u00eda estar conectada a ChatGPT, tener acceso a los agentes del espacio de trabajo y contar con al menos una aplicaci\u00f3n autorizada, como Gmail, Outlook o Slack. En esas condiciones, el agente pod\u00eda actuar con los permisos<\/a> de la persona y recibir nuevas \u00f3rdenes sin otro clic.<\/p>\n\n\n\n

Qu\u00e9 es un agente de Workspace<\/h2>\n\n\n\n

Los Workspace Agents son asistentes de IA que una empresa puede configurar para repetir tareas<\/a> y mover trabajo entre herramientas. OpenAI permite probarlos antes de publicarlos, conectarlos a aplicaciones, compartirlos con el equipo y ejecutarlos de forma programada.<\/p>\n\n\n\n

\n
\n
\n

Lea tambi\u00e9n: China lo ha demostrado en el cielo de Chongqing: 11.787 drones volando de forma simult\u00e1nea y coordinada anticipan c\u00f3mo ser\u00e1 la guerra del futuro<\/a><\/h4>\n<\/div>\n<\/div><\/div>\n<\/div>\n\n\n\n

En la pr\u00e1ctica, eso significa que un agente puede revisar informaci\u00f3n, preparar res\u00famenes o completar pasos de un flujo de trabajo sin que alguien tenga que empezar desde cero cada vez. Esa autonom\u00eda<\/a> resulta \u00fatil, pero tambi\u00e9n aumenta el da\u00f1o posible cuando las instrucciones o los permisos caen en manos equivocadas.<\/p>\n\n\n\n

C\u00f3mo aprovechaba el constructor<\/h2>\n\n\n\n

AgentForger era una variante de la falsificaci\u00f3n de solicitud entre sitios, conocida como CSRF. Este tipo de ataque enga\u00f1a a una sesi\u00f3n ya iniciada para que realice una acci\u00f3n que el usuario no pretend\u00eda. Aqu\u00ed, la acci\u00f3n no era un simple cambio de configuraci\u00f3n, sino construir un nuevo agente.<\/p>\n\n\n\n

Mike Takahashi, investigador de Zenity Labs especializado en poner a prueba sistemas de IA, explic\u00f3 que el constructor aceptaba instrucciones iniciales incluidas dentro de una URL. Al abrir el enlace, esas \u00f3rdenes pod\u00edan enviarse autom\u00e1ticamente al sistema, seleccionar una plantilla, a\u00f1adir aplicaciones conectadas, reducir las solicitudes de aprobaci\u00f3n, publicar el agente y dejarlo programado.<\/p>\n\n\n\n

\n
\n
\n

Lea tambi\u00e9n: Aston Martin crea un SUV blindado con motor V12 y compartimento para armas: nunca llegar\u00e1 a la calle porque solo existe dentro de Call of Duty: Modern Warfare 4<\/a><\/h4>\n<\/div>\n<\/div><\/div>\n<\/div>\n\n\n\n

El detalle clave era que las aplicaciones ya hab\u00edan sido autorizadas por el empleado. Por eso no aparec\u00eda una nueva pantalla para conceder acceso. Era como entregar a alguien una llave v\u00e1lida, pero sin darse cuenta de que tambi\u00e9n se hab\u00eda creado un ayudante dispuesto a usarla.<\/p>\n\n\n\n

El correo daba nuevas \u00f3rdenes<\/h2>\n\n\n\n

Una vez publicado, el agente pod\u00eda revisar el buz\u00f3n de la v\u00edctima. Zenity configur\u00f3 su prueba para buscar mensajes del atacante con un asunto concreto, ejecutar lo que ped\u00edan mediante las aplicaciones conectadas y devolver los resultados por correo.<\/p>\n\n\n\n

\n
\n
\n

Lea tambi\u00e9n: Alemania da un golpe sobre la mesa e invierte millones en nuevos tanques ob\u00fas para reforzar su artiller\u00eda pesada<\/a><\/h4>\n<\/div>\n<\/div><\/div>\n<\/div>\n\n\n\n

El primer clic instalaba el mecanismo y la programaci\u00f3n<\/a> lo manten\u00eda activo. Despu\u00e9s, el atacante no necesitaba que la v\u00edctima volviera a abrir el enlace ni que dejara una pesta\u00f1a encendida. El buz\u00f3n funcionaba como un mando a distancia, discreto y persistente.<\/p>\n\n\n\n

Lo que pod\u00eda hacer AgentForger<\/h2>\n\n\n\n

Zenity prob\u00f3 el ataque en doce escenarios. El agente logr\u00f3 elaborar un mapa interno con personas, proyectos y reuniones, buscar documentos sensibles en correo y almacenamiento corporativo, localizar credenciales y enviar los resultados al atacante. Eran pruebas de concepto dise\u00f1adas para medir el alcance del fallo.<\/p>\n\n\n\n

El sistema tambi\u00e9n pod\u00eda actuar con la identidad del empleado. En las pruebas, envi\u00f3 mensajes internos de phishing<\/a>, prepar\u00f3 intentos de fraude por correo empresarial y utiliz\u00f3 canales de confianza como Teams o Slack. Un mensaje externo suele levantar sospechas, pero uno que parece venir de un compa\u00f1ero puede pasar m\u00e1s f\u00e1cilmente.<\/p>\n\n\n\n

\n
\n
\n

Lea tambi\u00e9n: El Leopard 2A8 se corona como el tanque m\u00e1s letal de 2026: dispara munici\u00f3n programable a 5 km<\/a><\/h4>\n<\/div>\n<\/div><\/div>\n<\/div>\n\n\n\n

\u00abNo se trata de una solicitud falsificada, sino de un infiltrado falsificado\u00bb, resumi\u00f3 Michael Bargury, cofundador y director de tecnolog\u00eda de Zenity. La frase se\u00f1ala el cambio principal. El atacante no obten\u00eda solo una acci\u00f3n aislada, sino una herramienta aut\u00f3noma con acceso, horario e instrucciones propias.<\/p>\n\n\n\n

OpenAI lo corrigi\u00f3 en cuatro d\u00edas<\/h2>\n\n\n\n

Zenity comunic\u00f3 la vulnerabilidad a OpenAI mediante Bugcrowd el 4 de junio de 2026. El informe fue aceptado el 5 de junio y la correcci\u00f3n lleg\u00f3 el d\u00eda 8, con la retirada del par\u00e1metro de URL que hab\u00eda permitido iniciar el ataque. La reparaci\u00f3n estaba desplegada antes de la publicaci\u00f3n de la investigaci\u00f3n.<\/p>\n\n\n\n

La rapidez importa porque el fallo afectaba a una funci\u00f3n capaz de actuar sobre varias aplicaciones a la vez. El caso tambi\u00e9n muestra que un error peque\u00f1o en el proceso de creaci\u00f3n puede multiplicarse cuando la IA tiene permisos amplios y trabaja de forma aut\u00f3noma. Esa es la parte inc\u00f3moda.<\/p>\n\n\n\n

Qu\u00e9 deben vigilar las empresas<\/h2>\n\n\n\n

La documentaci\u00f3n actual de OpenAI se\u00f1ala que las aplicaciones pueden pedir aprobaci\u00f3n antes de actuar y advierte de que la opci\u00f3n de no preguntar eleva el riesgo. Tambi\u00e9n recomienda limitar cada conexi\u00f3n a lo estrictamente necesario, sobre todo cuando un agente usa una cuenta compartida o puede enviar, editar o borrar contenido.<\/p>\n\n\n\n

Los administradores pueden restringir qu\u00e9 personas usan cada aplicaci\u00f3n, permitir solo acciones de lectura y revisar permisos por funci\u00f3n. OpenAI tambi\u00e9n ofrece visibilidad sobre la actividad, las aplicaciones conectadas y los horarios de los agentes desde la consola de administraci\u00f3n. Al final del d\u00eda, la lecci\u00f3n no es dejar de usar agentes, sino revisar qui\u00e9n puede crearlos, qu\u00e9 datos<\/a> alcanzan, cu\u00e1ndo trabajan y qu\u00e9 acciones necesitan confirmaci\u00f3n.<\/p>\n\n\n\n

Un agente \u00fatil debe tener l\u00edmites claros, igual que cualquier empleado con acceso sensible.<\/p>\n\n\n\n

La investigaci\u00f3n oficial sobre AgentForger se ha publicado en Zenity Labs<\/em><\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"

Un enlace normal de ChatGPT pod\u00eda convertirse en una puerta de entrada. Zenity Labs descubri\u00f3 que una vulnerabilidad en el … <\/p>\n

Read more<\/a><\/p>\n","protected":false},"author":8,"featured_media":5097,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[],"class_list":["post-5085","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad","resize-featured-image"],"_links":{"self":[{"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/posts\/5085","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/comments?post=5085"}],"version-history":[{"count":1,"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/posts\/5085\/revisions"}],"predecessor-version":[{"id":5086,"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/posts\/5085\/revisions\/5086"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/media\/5097"}],"wp:attachment":[{"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/media?parent=5085"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/categories?post=5085"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/okdiario.com\/techy\/wp-json\/wp\/v2\/tags?post=5085"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}