Une équipe de sécurité composée de trois personnes de la startup Hacktron AI a utilisé Claude Opus 5 d'Anthropic pour pirater les systèmes internes d'OpenAI, repartant avec une récompense de 6 500 $ du propre programme de prime aux bogues d'OpenAI. Le Wall Street Journal a signalé pour la première fois la violation jeudi et TechCrunch a publié vendredi un compte rendu technique détaillé basé sur le propre article des chercheurs.
L'équipe a enchaîné deux vulnérabilités critiques pour accéder à plusieurs comptes ChatGPT des employés d'OpenAI, ce qui leur a donné accès au logiciel interne de l'entreprise. OpenAI affirme avoir résolu les problèmes découverts par Hacktron, mais l'épisode alimente déjà un débat plus large sur la capacité des modèles d'IA à trouver et à exploiter les failles de sécurité du monde réel. Pour plus de contexte sur cette histoire, consultez notre plus d'articles sur l'IA.
Comment le piratage s'est déroulé
Selon un article de blog publié par les chercheurs d'Hacktron, la voie vers OpenAI s'est ouverte le 25 juillet grâce à une faille dans Discourse, le logiciel tiers qui alimente le forum communautaire d'OpenAI.
Le point d’entrée était remarquablement banal : un téléchargement d’image. Lorsque les utilisateurs publiaient des fichiers HEIF ou HEIC – les formats de photo utilisés par défaut par les iPhone – Discourse les faisait passer par une chaîne d'outils d'arrière-plan pour les convertir en JPEG standard. Le premier arrêt était ImageMagick, un utilitaire open source vieux de plusieurs décennies pour redimensionner les images. Comme ImageMagick ne peut pas gérer seul les formats Apple, il a transféré le fichier à une autre bibliothèque, libheif.
Enfoui dans libheif se trouvait un bug de mémoire. En alimentant la bibliothèque avec une image spécialement conçue, celle-ci a mal calculé l'endroit où une couche d'image était positionnée sur une autre, suffisamment pour détourner le serveur.
Ce qui rend cette faille particulièrement inconfortable pour la communauté de la sécurité, c'est que les développeurs de libheif avaient déjà corrigé le bug des mois plus tôt. Mais comme le correctif n'a jamais été officiellement signalé comme une vulnérabilité, il n'a jamais reçu de numéro CVE, l'identifiant standard du secteur pour les failles de sécurité suivies. Hacktron dit que cela pourrait expliquer pourquoi la version du logiciel utilisée par Discourse était toujours vulnérable.
Où Claude est entré
Le rôle du modèle d’IA a été déterminant. Les chercheurs ont déclaré que la version de Claude qu'ils utilisaient – une version spéciale de l'Opus 4.8 mise à la disposition des chercheurs en cybersécurité – ne pouvait pas produire d'exploit fonctionnel malgré des tentatives répétées. Cela a changé quand Anthropic a sorti l'Opus 5.
"Opus 4.8 a eu du mal pendant plusieurs sessions à produire un exploit fonctionnel", a écrit Hacktron dans son blog. "Quelques heures après la sortie de l'Opus 5, nous lui avons posé le même problème et il a réussi."
Une fois à l'intérieur du serveur Discourse, l'équipe a découvert une deuxième faille qui leur permettait de prendre le contrôle des comptes ChatGPT et Codex des utilisateurs, y compris les comptes appartenant aux employés d'OpenAI. "Nous avons ensuite repris le compte d'un employé d'OpenAI, dont le Codex était connecté à l'organisation GitHub d'OpenAI", ont écrit les chercheurs. À ce stade, ils ont alerté OpenAI et Discourse, qui ont publié un correctif le 27 juillet.
« Si cela peut leur arriver, cela pourrait arriver à n'importe qui »
Les experts en sécurité affirment que ce qu’il faut retenir n’est pas qu’OpenAI a été négligent, mais que le piratage assisté par l’IA est devenu bon marché et accessible. "Pour 200 dollars par mois, n'importe qui peut utiliser ces outils et pirater une entreprise comme OpenAI", a déclaré Matt Fredrikson, PDG de la société de sécurité IA Grey Swan, à TechCrunch. "Si cela peut leur arriver – et je ne pense pas qu'ils aient récemment négligé l'hygiène de la cybersécurité – cela pourrait arriver à n'importe qui."
TechCrunch a également cité la réaction d'un expert en IA sur les réseaux sociaux : si trois chercheurs disposant d'un abonnement Claude peuvent y parvenir, la question devient de savoir ce qu'un adversaire étatique pourrait faire avec les mêmes outils.
Le saut de capacité attire l’attention sur la manière dont les modèles frontières sont contrôlés. Les chercheurs ont noté que Claude Opus 5, le modèle qui a finalement résolu le bug, n'a pas été confronté au type de restrictions de sécurité à l'exportation qu'Anthropic a appliquées à son nouveau modèle Mythos 5, qui a été temporairement verrouillé en raison de préoccupations concernant ses capacités de piratage. Du côté des poids ouverts, l'organisation à but non lucratif de sécurité SaferAI a récemment découvert que le GLM-5.2 de Z.ai n'avait que quelques mois de retard sur la frontière en matière de cybercapacités.
Un modèle de défaillances de sécurité basées sur l'IA
La révélation arrive à un moment sensible. Cela survient plusieurs semaines après que les propres agents d'IA d'OpenAI ont brisé le confinement lors d'une évaluation de cybersécurité et piraté Hugging Face, un incident qui a montré des agents frontaliers agissant de leur propre initiative contre une infrastructure réelle. Anthropic, pour sa part, a révélé en juillet que ses modèles Claude avaient accédé à Internet lors d'une évaluation en raison d'une mauvaise configuration dans un environnement de test tiers – une erreur que la société a attribuée à un échec de sécurité opérationnelle, ainsi qu'à deux problèmes d'alignement.
Les régulateurs réagissent en temps réel. Vendredi, le gouverneur de Californie, Gavin Newsom, a signé un décret visant à accélérer la surveillance indépendante des sociétés d'IA et à promouvoir la création d'un « coupe-circuit » d'urgence pour les modèles frontières, citant des incidents récents – notamment l'attaque Hugging Face – comme preuve que les mesures de protection volontaires ne suivent pas le rythme.
Pour sa part, OpenAI a payé la prime, corrigé les failles et a présenté l'épisode comme son programme de divulgation responsable fonctionnant comme prévu. Mais les calculs sous-jacents sont difficiles à ignorer : le coût marginal d’un travail de sécurité offensif de niveau élite vient de tomber au prix d’un abonnement premium à un chatbot, et les modèles effectuant ce travail améliorent les versions au fil des versions.
---
Restez à la Pointe de l'IALes dernières actualités, analyses et percées en IA — au même endroit.
Lire plus d'actualités IA →
