Une équipe de chercheurs en sécurité a publié un compte rendu détaillé de la façon dont elle a enchaîné un bug de corruption de mémoire dans une bibliothèque d'images open source largement utilisée avec un paramètre d'authentification unique mal configuré pour atteindre les référentiels de code internes d'OpenAI – une intrusion que la société a corrigée en 14 heures environ et reconnue par une prime de bug de 6 500 $.
L'article, publié par la société de sécurité Hacktron, décrit les événements survenus en juillet 2026, lorsque l'équipe a compromis les comptes ChatGPT de plusieurs employés d'OpenAI via le propre forum communautaire de l'entreprise. Il a attiré une nouvelle attention cette semaine après qu'une discussion de Hacker News sur la recherche ait recueilli plusieurs centaines de votes positifs. Les principales réclamations techniques sont vérifiées : Discourse, le logiciel de forum impliqué, a publié un avis de sécurité — GHSA-vhm9-85gw-x335, intitulé "RCE via un fichier HEIF malformé" — décrivant la vulnérabilité sous-jacente. Pour plus de contexte sur cette histoire, consultez notre plus d'articles sur l'IA.
The Chain : Un forum, un analyseur d'images et une faille SSO
Selon Hacktron, le point d'entrée était community.openai.com, le forum Discourse où les utilisateurs discutent des produits OpenAI. Le forum permet de « se connecter avec OpenAI » via l'infrastructure d'identité de l'entreprise, ce qui a donné aux chercheurs des raisons de croire que la compromission du forum pourrait ouvrir la voie à des services OpenAI plus larges.
La première vulnérabilité résidait dans le pipeline de téléchargement d'images du forum. Discourse filtre normalement les téléchargements avec une bibliothèque appelée FastImage, mais FastImage ne prend pas en charge HEIF – le format d'image derrière les photos de l'iPhone – donc les fichiers HEIC et HEIF ont été transmis à la commande magick d'ImageMagick pour la conversion. Cela exposait l’analyseur libheif sous-jacent directement aux fichiers contrôlés par les attaquants.
L'image Discourse Docker a été construite sur Debian 12, qui fournissait une version de libheif – 1.19.7 – manquant de rétroportages de sécurité pertinents, a écrit Hacktron. Le code vulnérable avait été modifié en amont l'année précédente, mais la validation n'a jamais été documentée comme un correctif de sécurité et n'a reçu aucun CVE, ce qui, selon les chercheurs, est la raison pour laquelle Debian ne l'a pas rétroporté à temps. Même Debian 13 livrait toujours une version vulnérable, la 1.19.8, jusqu'à ce que Debian publie une mise à jour de sécurité le 8 août 2026.
La deuxième faiblesse était une mauvaise configuration du SSO dans l'infrastructure d'identité d'OpenAI, dont les détails n'ont pas été publiés. Enchaînées ensemble, les deux failles signifiaient que – jusqu'à il y a environ deux mois, selon l'article – tout utilisateur ou employé d'OpenAI se connectant au forum d'aide de l'entreprise aurait pu voir ses comptes ChatGPT et Codex pris en charge.
Où l'IA entre en scène
Ce qui rend cette divulgation remarquable pour l’industrie de l’IA, c’est la façon dont les vulnérabilités ont été découvertes. L'équipe — Harsh Jaiswal, Mohan Pedhapati et Rahul Maini — a lancé une session de codage d'IA avec l'image Discourse Docker et a demandé à Claude Opus 4.8 d'Anthropic d'inspecter le paquet libheif installé pour détecter des problèmes de sécurité. Le modèle a identifié les rétroportages de sécurité manquants. Les chercheurs ont ensuite utilisé l’assistance de l’IA pour développer un exploit d’exécution de code fonctionnel contre la bibliothèque d’images.
Hacktron avait commencé à rechercher des sociétés d'IA pionnières spécifiquement pour trouver des vulnérabilités en matière de sécurité, selon le message. L’épisode est une démonstration concise d’une tendance contre laquelle les équipes de sécurité ont mis en garde : les systèmes d’IA sont désormais suffisamment utiles pour compresser la recherche de vulnérabilités qui prenait autrefois des semaines en quelques jours. Hacktron affirme que l'ensemble de son calendrier – depuis la découverte initiale jusqu'à l'accès aux référentiels internes d'OpenAI – a pris moins de 72 heures.
Prouver l'accès sans prendre de secrets
Le 25 juillet, l'équipe a déclaré avoir utilisé la chaîne pour compromettre les comptes ChatGPT de plusieurs employés d'OpenAI. Étant donné que les employés connectent des services tels que GitHub, Slack et la messagerie électronique à ChatGPT et Codex, les chercheurs écrivent que le rayon d'explosion théorique comprenait des référentiels internes et une large gamme d'outils connectés.
Surtout, l’équipe affirme avoir évité de lire des données sensibles. Pour prouver l'accès sans l'exploiter, ils ont utilisé l'instance Codex d'un employé pour ouvrir une pull request inoffensive – numéro 1186742 – dans le monorepo interne d'OpenAI, dans un référentiel appelé openai/openai. Le lien vers cette pull request est rédigé dans la rédaction à la demande d'OpenAI. Les chercheurs ont informé directement les contacts de l'entreprise et ont arrêté tous les tests ultérieurs le même après-midi.
Solution rapide, prime modeste
Hacktron a rapporté les résultats via le programme de bug bounty d'OpenAI sur Bugcrowd et à Discourse via HackerOne. Selon le rapport, OpenAI a confirmé un correctif environ 14 heures après la soumission initiale et a payé une prime de 6 500 $. Dans un commentaire cité par Hacktron, OpenAI a noté que les tests sur le forum hébergé par Discourse étaient explicitement exclus de la portée de son bug bounty – le prix reconnaissait la découverte du SSO côté OpenAI plutôt que la compromission du forum lui-même.
Le discours a également évolué rapidement : un correctif était prêt en quelques jours et un sandboxing de traitement d'image a été ajouté comme défense en profondeur, en publiant l'avis GHSA-vhm9-85gw-x335 avec des conseils pour les correctifs et la reconstruction. La société a averti les opérateurs auto-hébergés de reconstruire leurs installations à partir d'images Docker mises à jour, car une mise à jour de l'interface Web à elle seule ne peut pas remplacer la bibliothèque sous-jacente vulnérable.
HEIF Heist : une bibliothèque, de nombreuses victimes
La chaîne OpenAI est née d'une enquête plus large que Hacktron appelle HEIF Heist, un effort de plusieurs mois retraçant libheif sur des plates-formes largement utilisées, notamment Slack, Meta, GitHub Enterprise, Ruby on Rails et les frameworks Node.js tels que Next.js, Astro et Gatsby. L'avertissement de l'entreprise est direct : toute application qui traite des images contrôlées par l'utilisateur et accepte les fichiers .heic, .heif ou .avif est probablement affectée par au moins une variante du problème, et une quantité surprenante de logiciels largement utilisés dépendent de cette bibliothèque de traitement d'images.
Pour OpenAI, l'incident est un rappel inconfortable que le périmètre de sécurité d'un laboratoire d'IA frontalier est aussi solide que son composant le plus humble – dans ce cas, un analyseur d'images dans un forum communautaire. Pour tous les autres, la solution pratique est plus simple : corrigez libheif, reconstruisez les installations Discourse à partir d'images mises à jour et supposez que quiconque sonde votre périmètre dispose désormais de l'assistance de l'IA.
---
Restez à la Pointe de l'IALes dernières actualités, analyses et percées en IA — au même endroit.
Lire plus d'actualités IA →
