Apple acusa a un exempleado de robar archivos secretos usando un bug tras irse a OpenAI

Apple presentó una demanda el viernes contra OpenAI por presunto robo de secretos comerciales, y en el proceso reveló un episodio de seguridad que expone las vulnerabilidades que enfrentan las grandes empresas cuando un empleado se va a la competencia.

Según la denuncia judicial presentada ante el Tribunal Federal del Distrito Norte de California en San José —que exige juicio con jurado—, un exempleado llamado Chang Liu, ingeniero eléctrico de sistemas, habría aprovechado lo que Apple describe como un "bug raro y previamente desconocido" para seguir accediendo a la red interna de la compañía semanas después de dejar su cargo para sumarse a OpenAI.

La falla es clasificada como una vulnerabilidad de día cero (un tipo de error que la empresa afectada no conoce y, por lo tanto, no tuvo tiempo de corregir antes de que alguien la explotara). Apple ya la corrigió y, según informó la compañía, cortó el acceso de Liu una vez que detectó la brecha.

De acuerdo con la denuncia, Liu descubrió que todavía podía entrar al repositorio de archivos de red de Apple —una especie de disco duro compartido en la nube con documentación interna— y se lo comunicó a una colega con un mensaje que Apple cita textualmente en su escrito: "LOL, descubrí que puedo acceder al almacenamiento de red, qué gracioso".

Apple sostiene que Liu descargó decenas de archivos confidenciales relacionados con hardware durante varias semanas mientras ya trabajaba en OpenAI. Entre los documentos figurarían detalles sobre productos sin lanzar, presentaciones de ingeniería, especificaciones técnicas y datos de proyectos propietarios.

La compañía también alega que Liu no devolvió su laptop corporativa de Apple, que le habría servido para mantener la conexión con los sistemas internos. Además, lo acusa de haber usado la computadora de otra empleada, Yu-Ting Peng, quien en ese momento aún trabajaba en Apple y luego también se pasó a OpenAI. Liu habría operado desde ese equipo ajeno mientras ya era empleado de OpenAI.

Apple acusa a Liu de no haber reportado la vulnerabilidad que descubrió, pese a que su contrato de trabajo lo obligaba a hacerlo, y de no haber eliminado el programa que le permitía el acceso remoto. Ese tipo de programas —como una VPN o una app de acceso remoto aprobada por la empresa— son herramientas habituales que los empleados usan para trabajar desde fuera de la oficina.

El caso pone en evidencia un problema común en el mundo corporativo: cuando alguien deja una empresa, sus credenciales de acceso deberían desactivarse de inmediato. Si eso no ocurre, la puerta queda abierta. TechCrunch, que publicó la información original, consultó a Apple sobre cuándo exactamente desactivaron el acceso de Liu, pero no obtuvo respuesta.

OpenAI, por su parte, ya había declarado públicamente que "no tiene ningún interés en los secretos comerciales de otras empresas". Si el caso avanza, el juicio podría celebrarse este mismo año.