Contexte de l'attaque

En juillet 2024, des chercheurs ont démontré la possibilité de prendre le contrôle de plusieurs comptes ChatGPT appartenant à des employés d’OpenAI. Les comptes ciblés offraient un accès direct aux dépôts internes de l’entreprise ainsi qu’à un large éventail de connecteurs externes. Cette compromission a été rendue possible en exploitant deux vulnérabilités distinctes, puis en les enchaînant pour franchir les contrôles d’authentification habituels.

Mécanisme des vulnérabilités

Le premier point d’entrée repose sur une faille dans le service d’authentification de ChatGPT, qui permettait de forger ou de réutiliser des jetons d’accès valides. Le second vecteur exploitait une faiblesse du composant Codex, utilisé par les employés pour générer du code à partir de prompts. En combinant ces deux failles, les attaquants ont pu injecter du code malveillant dans le flux de travail d’un développeur, ouvrant ainsi une pull request (PR) dans le monorepo interne d’OpenAI. La PR contenait des modifications qui accordaient des privilèges supplémentaires aux comptes compromis, élargissant l’accès aux ressources internes.

Implications pour la sécurité interne

Cette chaîne d’exploitation montre que la compromission d’un seul compte développeur peut se propager à l’ensemble de l’infrastructure de code si les contrôles de révision ne sont pas strictement appliqués. Le fait que les comptes compromis puissent interagir avec les connecteurs externes augmente le risque de fuite de données vers des services tiers. De plus, l’utilisation de Codex comme vecteur d’injection souligne la nécessité de séparer les environnements de génération de code automatisé des environnements de production, notamment en appliquant des politiques de moindre privilège et des revues manuelles systématiques des PR.

Limites de l'information disponible

Le communiqué de TLDR ne fournit pas de détails techniques précis sur les deux vulnérabilités (pas de CVE, pas de description de l’exploitation au niveau du code). L’absence de ces données empêche une évaluation fine de la surface d’attaque et des contre‑mesures exactes à mettre en place. Le texte indique seulement que les chercheurs ont publié un « timeline » de la divulgation, mais ne partage pas les dates exactes ni les étapes de remédiation. En conséquence, les lecteurs doivent considérer que l’analyse repose sur des faits limités et que des informations complémentaires provenant d’OpenAI ou des chercheurs seraient nécessaires pour une compréhension complète.