Des hackers éthiques ont compromis OpenAI avec Claude Opus 5 en moins de 72 heures

• Des chercheurs en sécurité ont utilisé Claude Opus 5 pour détourner le compte ChatGPT d’un employé d’OpenAI
• L’exploit a abusé d’une faille de traitement d’image sur les forums communautaires d’OpenAI pour obtenir un accès complet aux dépôts
• Moins de 72 heures ont séparé la découverte de la vulnérabilité de l’accès aux dépôts

Dans le cadre d’un programme de bug bounty d’OpenAI, des chercheurs en sécurité de Hacktron sont parvenus à compromettre un compte ChatGPT interne et à accéder au code de l’entreprise hébergé sur GitHub.

Selon le Wall Street Journal, qui a révélé l’incident, les chercheurs ont utilisé une « version spéciale » de Claude d’Anthropic mise à disposition de « professionnels qualifiés de la cybersécurité ».

Les premières tentatives reposaient sur Claude Opus 4.8, mais le modèle a rencontré plusieurs obstacles et n’est pas parvenu, après plusieurs sessions, à produire un exploit fonctionnel. La sortie de Claude Opus 5 a complètement changé la situation.

La compromission d’OpenAI s’inscrivait dans une exploitation plus large de libheif

L’attaque débute avec un exploit visant libheif, qui abuse d’une faille touchant le décodage et l’encodage des fichiers d’image .heic, .heif et .avif. Cette bibliothèque est également utilisée par d’autres plateformes et logiciels, notamment Slack, Meta, GitHub Enterprise et Ruby on Rails.

Les chercheurs ont constaté que le forum communautaire d’OpenAI repose sur Discourse, lui-même dépendant de FastImage pour vérifier les images. FastImage ne prenant pas en charge les fichiers .heif, ceux-ci sont transmis à ImageMagick afin d’être convertis.

Avec Opus 4.8, la création d’un exploit permettant l’exécution de code à partir de cette interaction entre ImageMagick et libheif n’a pas abouti. Anthropic a cependant lancé Claude Opus 5 le même jour.

Grâce à Opus 5, les chercheurs ont réussi à produire localement une exécution de code à distance — ou RCE — sur le même principe, en plaçant un agent d’IA dans une boucle chargée d’exploiter une instance locale de Discourse Cloud.

L’exploit Discourse fonctionnel a ensuite été utilisé contre les forums communautaires d’OpenAI, où le compte ChatGPT d’un employé a été détourné. Cet employé avait relié ChatGPT Codex au GitHub de l’entreprise, ce qui a permis aux chercheurs d’obtenir un accès complet aux dépôts.

Quelques heures d’interaction humaine ont suffi

Après les heures d’échec rencontrées avec Opus 4.8, Opus 5 a illustré à quel point « chaque nouveau modèle devient de plus en plus capable ». L’agent exécuté avec Opus 5 n’a eu besoin que de quelques heures pour développer un exploit fonctionnel.

Selon les chercheurs, la chronologie complète, depuis la découverte initiale de la vulnérabilité jusqu’à l’accès aux dépôts d’OpenAI, a duré moins de 72 heures.

L’attaque visant OpenAI et Discourse a demandé quelques jours de travail à l’agent, mais seulement quelques heures d’intervention humaine. L’étude plus large de l’exploitation de libheif contre des organisations comme Slack, Zoom et Meta a pris deux mois, coûté moins de 3 000 $ en jetons et mobilisé trois chercheurs.

L’IA a commencé avec très peu d’informations et a adapté l’exploit à chaque entreprise en un ou deux jours. Selon Hacktron, Shopify est la seule entreprise connue pour avoir détecté l’activité, malgré l’envoi de milliers d’images et les plantages répétés des systèmes de traitement d’images.

OpenAI a versé à Hacktron une récompense de 6 500 $ pour la divulgation des vulnérabilités, et la faille de libheif a depuis été corrigée.

Les agents d’IA représentent l’avenir, pour le meilleur comme pour le pire

La démonstration de Hacktron montre à quel point les agents d’IA prennent une place importante dans la cybersécurité. Les gains de productivité et d’efficacité mis en avant pour les travailleurs peuvent également profiter aux attaquants.

Le fait que 72 heures seulement aient séparé la découverte de l’exploit de l’accès complet aux dépôts illustre le risque. L’exécution continue d’un agent jusqu’à l’obtention d’un exploit fonctionnel peut faire passer certaines phases d’attaque de plusieurs semaines ou mois à quelques heures.

Une situation comparable s’était déjà produite lors des tests d’agents d’OpenAI qui avaient accidentellement compromis Hugging Face. Ces agents avaient reçu pour instruction d’accomplir leur scénario de test par tous les moyens et avaient interprété cette consigne comme l’autorisation de dépasser les limites prévues pour attaquer un environnement tiers.

Spencer Starkey explique que l’IA transforme depuis un certain temps aussi bien les capacités offensives que défensives. Selon lui, le développement de plateformes de sécurité presque entièrement construites par IA soulève surtout la question de l’expérience humaine disponible lorsque survient un véritable incident.

Une plateforme peu coûteuse, très automatisée et dotée d’une interface soignée peut sembler séduisante. Starkey souligne toutefois qu’une crise à deux heures du matin exige souvent une expertise du produit, de l’environnement du client et des incidents déjà rencontrés, expérience qu’une structure reposant presque exclusivement sur l’automatisation ne peut pas nécessairement fournir.

Un fournisseur plus récent capable d’assurer 90 % des mêmes fonctions pour moitié moins cher peut paraître attractif. Les 10 % restants correspondent pourtant souvent, selon Starkey, à la responsabilité, à la résilience et au savoir institutionnel — précisément les éléments les plus importants lorsqu’une organisation subit une attaque.

Starkey estime enfin que la rigueur de certaines procédures de sélection de fournisseurs tend à s’éroder. Une solution brillante et bon marché peut être tentante, mais les conséquences d’un mauvais choix en cybersécurité apparaissent généralement au moment où elles sont le moins supportables.

• Des modèles d’OpenAI se seraient échappés d’un environnement sécurisé pour pirater Hugging Face
• Claude a piraté trois entreprises pendant des tests d’Anthropic, et l’incident pose une vraie question de sécurité
• OpenAI rassemble Microsoft, Google et plus de 120 organisations pour renforcer la cybersécurité face à l’IA