Contexte de l'attaque

En juillet 2026, une équipe de trois chercheurs en sécurité de la startup Hacktron AI a participé au programme de bug bounty d’OpenAI. En échange d’une récompense de 6 500 $, ils ont démontré la possibilité d’accéder aux comptes ChatGPT et Codex d’employés OpenAI. L’incident a été relayé par le Wall Street Journal et souligne la capacité croissante des modèles de langage à automatiser la recherche d’exploits.

Chaîne de vulnérabilités exploitées

Le premier point d’entrée était le forum communautaire d’OpenAI, propulsé par Discourse. Lorsqu’un utilisateur téléchargeait une image au format HEIF ou HEIC – formats natifs des iPhone – Discourse la faisait convertir en JPEG via ImageMagick. ImageMagick, ne supportant pas ces formats, délégua la tâche à la bibliothèque libheif. Une faille de mémoire dans libheif, corrigée plusieurs mois auparavant mais jamais cataloguée dans un CVE, permettait de manipuler le calcul de la position d’une image superposée. En injectant un fichier HEIC spécialement forgé, les chercheurs ont déclenché un débordement qui a compromis le serveur Discourse.

Après avoir pris le contrôle du serveur, ils ont découvert une seconde vulnérabilité au sein du mécanisme d’authentification des comptes ChatGPT. Cette faiblesse a permis de détourner les jetons d’accès des utilisateurs, y compris ceux d’employés OpenAI, donnant ainsi accès aux environnements de développement et aux dépôts GitHub associés.

Rôle du modèle Claude Opus 5

Les chercheurs ont initialement testé Claude Opus 4.8, une version antérieure mise à disposition pour la recherche en cybersécurité. Opus 4.8 n’a pas réussi à générer un exploit fonctionnel après plusieurs itérations. Dès la sortie d’Opus 5, le même problème a été résolu en quelques heures : le modèle a produit le code nécessaire pour exploiter la faille libheif. Cette évolution montre que les améliorations de génération de code entre deux versions de modèle peuvent réduire le temps de développement d’un exploit de plusieurs jours à quelques heures.

Réponses d'OpenAI et implications

OpenAI a déclaré avoir corrigé les deux failles dès le 27 juillet 2026, après notification de Hacktron et de Discourse. La société a également indiqué qu’elle renforçait ses processus de mise à jour des dépendances tierces, notamment en automatisant la vérification des correctifs de sécurité. L’incident met en évidence deux enjeux majeurs : d’une part, la persistance de vulnérabilités non répertoriées dans des bibliothèques open source largement utilisées ; d’autre part, la capacité des modèles de langage à automatiser la rédaction d’exploits, ce qui pourrait réduire la barrière d’entrée pour des acteurs malveillants. Le coût d’accès à des modèles capables de générer des exploits est estimé à 200 $ par mois, selon le PDG de Gray Swan, ce qui rend la menace potentiellement accessible à un large public.