El investigador de seguridad zer0dac ha revelado una cadena de vulnerabilidades de prueba de concepto en ChatGPT que combinaba la evasión de una barrera de seguridad con un fallo de salto de directorio (path traversal), lo que potencialmente permitiría a los atacantes acceder a archivos restringidos del sistema, como /etc/passwd, a través del mecanismo de descarga de archivos de la plataforma. Desde entonces, OpenAI ha solucionado el problema rediseñando el flujo de descarga de URL.

La cadena de explotación constaba de cuatro pasos, comenzando con una carga de archivo rutinaria y terminando en una inclusión de archivos locales (LFI).

• Carga de archivo: El investigador subió un archivo HTML ficticio a ChatGPT para su revisión, estableciendo una ruta de archivo en un entorno aislado (sandbox).
• Evasión de la barrera de seguridad: Al solicitar directamente un enlace de descarga del archivo, ChatGPT denegó la solicitud, citando la política estándar de eliminación tras el almacenamiento temporal. Esto se corresponde con la categoría LLM02:2025 de OWASP (Divulgación de Información Sensible).
• Ingeniería social al LLM: Al solicitar primero una edición del archivo subido y luego afirmar que el archivo había sido "borrado accidentalmente" y pedir un nuevo enlace de descarga, el investigador engañó a ChatGPT para que generara una URL de descarga válida, saltándose por completo la restricción de eliminación.
• Intercepción del endpoint: El enlace generado exponía una estructura de API del backend: /backend-api/conversation/{id}/interpreter/download?message_id={id}&sandbox_path=/mnt/data/test.html.

Vulnerabilidad en el flujo de descarga de archivos de ChatGPT

Con un endpoint de descarga válido en mano, el investigador se centró en el parámetro sandbox_path. Un payload de salto ingenuo como ../../../../etc/passwd probablemente activaría los controles de validación de rutas y sería bloqueado.

En su lugar, el investigador conservó la ruta legítima original y añadió secuencias de salto después de ella: /mnt/data/test.html/../../../../etc/passwd.

Esta técnica explotó una normalización de rutas inconsistente, engañando a la lógica de validación para que tratara la solicitud como un acceso a un archivo legítimo, mientras que seguía resolviendo el salto fuera del directorio aislado. Cuando se accedía directamente desde un navegador, esta URL manipulada devolvía con éxito el contenido de /etc/passwd del entorno de ejecución de ChatGPT.

Según las notas del investigador, el impacto práctico fue limitado porque el entorno de ejecución de código de ChatGPT está aislado, lo que significa que no se produjo ninguna divulgación directa de datos sensibles al acceder a un archivo de sistema genérico como /etc/passwd.

Sin embargo, la revelación subraya un punto crítico para la seguridad de la IA: las primitivas de LFI y de salto de directorio, cuando se descubren de forma aislada, pueden servir como bloques de construcción en cadenas de explotación más amplias, especialmente en arquitecturas de LLM agénticas o aumentadas con herramientas, donde los entornos aislados pueden tener un acceso a archivos más amplio o interactuar con otros servicios.

OpenAI ya ha cerrado la vulnerabilidad cambiando el diseño del flujo de descarga de URL, aunque no se han divulgado públicamente los detalles técnicos específicos de la corrección.

Este caso resalta dos categorías de riesgo convergentes en la seguridad de los LLM: la manipulación de barreras basada en prompts (lograr que un modelo ignore su propia lógica de seguridad mediante un marco conversacional) y las vulnerabilidades tradicionales de aplicaciones web (salto de directorio) que aparecen en los endpoints del backend generados por IA.

A medida que las plataformas de LLM gestionan cada vez más la carga de archivos, la ejecución de código y la generación dinámica de URL, los investigadores sostienen que tanto el "red teaming" específico de IA como las pruebas de seguridad de aplicaciones web convencionales deben aplicarse conjuntamente a estos sistemas.