OpenAI ha informado a sus clientes sobre un incidente de seguridad que afecta a los datos analíticos de los usuarios de su plataforma para desarrolladores. Este problema surgió a raíz de una brecha en Mixpanel, un proveedor externo que OpenAI utilizaba para recolectar métricas de uso en la interfaz web de su API. Aunque el núcleo de los sistemas de OpenAI no se vio comprometido, este evento ha puesto de nuevo en cuestión la seguridad en la cadena de suministro del ecosistema de la inteligencia artificial.
El incidente ocurrió el 9 de noviembre de 2025, cuando un atacante obtuvo un acceso no autorizado a parte de la infraestructura de Mixpanel, extrayendo un conjunto de datos con información de clientes. No fue hasta el 25 de noviembre que Mixpanel informó a OpenAI sobre los detalles del dataset afectado, permitiendo a la empresa comenzar a notificar a los usuarios y organizaciones implicadas.
Pese a la alarma inicial, OpenAI ha subrayado que se trató de una brecha limitada al entorno de Mixpanel y no a sus propios sistemas. La información potencialmente expuesta incluye nombres asociados a cuentas de API, direcciones de correo electrónico, ubicaciones aproximadas, sistemas operativos y navegadores usados para acceder a la plataforma, páginas de referencia y identificadores de organización o usuario vinculados.
Crucialmente, OpenAI asegura que datos altamente sensibles, como contenido de chats, solicitudes a la API, contraseñas, claves de API, y datos de pago no fueron comprometidos. Aunque la brecha no afectó a la infraestructura principal, los datos filtrados podrían facilitar ataques de phishing y de ingeniería social, simulando mayor credibilidad.
En respuesta, OpenAI ha decidido cesar su relación con Mixpanel, ha comenzado a notificar a los clientes afectados y está auditando su ecosistema de proveedores para reforzar la seguridad. La compañía ha dejado de utilizar la plataforma de analítica Mixpanel en su interfaz web y se encuentra revisando y ajustando sus requerimientos de seguridad con otros terceros.
El incidente destaca un problema subyacente en los servicios de IA y plataformas cloud que confían en terceros para la observabilidad y analítica de sus productos. Aunque no se trata de datos sensibles, la información filtrada puede ser valiosa para atacantes que buscan realizar campañas de phishing o construir perfiles de usuarios utilizando filtraciones previas.
Para los equipos técnicos y responsables de seguridad, el incidente proporciona varias lecciones importantes. La superficie de ataque no se limita al código principal, sino que se extiende a los scripts de analítica y servicios de terceros. Es esencial revisar periódicamente los proveedores y minimizar los datos personales enviados a herramientas de métricas.
Además, OpenAI promueve la formación para detectar phishing orientado a IA, enfatizando la importancia de la autenticación multifactor y la desconfianza ante correos que soliciten información sensible.
Este incidente con Mixpanel es un recordatorio de que la confianza en los servicios de IA se sustenta en una red amplia de empresas y servicios. OpenAI ha actuado con transparencia al comunicar el incidente y detallar las medidas adoptadas, subrayando que la seguridad de los datos del cliente es responsabilidad de quien decide compartirlos. A medida que los agentes de IA ganan autonomía, incluso pequeñas fugas de información pueden convertirse en eslabones cruciales para los atacantes.
Más información y referencias en Noticias Cloud.
