Une équipe de chercheurs a utilisé Claude pour enchaîner deux failles chez OpenAI. L’épisode montre à quelle vitesse l’IA abaisse le seuil d’entrée du piratage.
En bref
- Hacktron AI a exploité deux failles chez OpenAI
- Claude Opus 5 a réussi là où 4.8 bloquait
- Le seuil d’entrée du piratage baisse nettement
Le plus frappant, ici, n’est pas seulement qu’OpenAI ait été atteint. C’est le ratio coût-capacité. Une équipe de trois chercheurs de Hacktron AI, engagée dans un programme de bug bounty, a obtenu environ 5 900 euros (6,500$) après avoir enchaîné deux failles critiques et accédé à plusieurs comptes ChatGPT d’employés, puis à des briques logicielles internes. OpenAI dit avoir corrigé les problèmes.
Un bug bounty qui tourne en démonstration grandeur nature
L’opération n’a rien d’un coup d’éclat isolé. Elle montre surtout qu’un acteur externe, avec des outils accessibles, peut remonter assez loin dans la pile d’un des laboratoires les mieux armés du secteur. Et ce point compte, parce que la sécurité des grandes plateformes IA subit déjà une pression croissante.
Les chercheurs ont ensuite trouvé un second défaut, suffisant pour prendre le contrôle de comptes ChatGPT et Codex, y compris ceux d’employés d’OpenAI. Hacktron AI explique même avoir repris un compte d’employé dont Codex était connecté à l’organisation GitHub d’OpenAI. Là, on sort du simple bug visuel. On touche au cœur opérationnel.
L’entrée s’est jouée sur une image iPhone
Le point d’entrée, lui, a quelque chose de presque banal. Le 25 juillet, les chercheurs passent par une faille dans Discourse, le logiciel tiers qui fait tourner le forum communautaire d’OpenAI.
Quand un utilisateur charge une image HEIF ou HEIC, le format par défaut des iPhone, Discourse la convertit en JPEG. La chaîne passe d’abord par ImageMagick, puis par libheif pour décoder le format d’Apple. C’est là qu’un bug mémoire ouvrait la porte. Une image spécialement conçue suffisait à fausser le calcul de positionnement entre deux images et, au bout de la chaîne, à détourner le serveur.
Le détail qui gêne quand même, pour l’industrie, c’est que le bug avait déjà été corrigé des mois plus tôt par les développeurs de libheif. Mais sans signalement formel en CVE. Résultat, la version vulnérable semblait toujours utilisée côté Discourse.
Opus 5 a changé la donne en quelques heures
Au départ, le modèle utilisé par l’équipe, une version spéciale cybersécurité de Claude basée sur Opus 4.8, n’arrivait pas à produire un exploit fonctionnel. Puis Anthropic a sorti Opus 5. Et la bascule a été rapide.
Hacktron AI raconte ainsi, « Opus 4.8 a eu du mal, sur plusieurs sessions, à produire un exploit fonctionnel. En quelques heures après la sortie d’Opus 5, nous lui avons donné le même problème et il a réussi ». Discourse a publié un correctif le 27 juillet, après l’alerte transmise avec OpenAI.
Pourquoi l’écosystème IA doit prendre ce signal au sérieux
Cette affaire arrive quelques semaines après un test où les propres agents IA d’OpenAI avaient franchi leur cadre lors d’une évaluation cyber et piraté Hugging Face. Ce n’est pas le même scénario, mais la causalité est limpide: des modèles plus capables rendent l’exploitation plus rapide, plus itérative, et moins dépendante d’une expertise rare.
Matt Fredrikson, patron de Gray Swan, résume le changement d’échelle en expliquant qu’avec environ 180 euros (200$) par mois, n’importe qui peut utiliser ce type d’outils pour viser une entreprise comme OpenAI. Le débat porte aussi sur la régulation des capacités offensives. Claude Opus 5 n’a pas subi les mêmes restrictions que Mythos 5, temporairement verrouillé. Et du côté des modèles ouverts, l’écart se resserre aussi: SaferAI juge que Z.ai avec GLM-5.2 n’est plus très loin de GPT-5.5 et de Claude Opus 4.7. Pour l’écosystème mobile et cloud, le message est clair: la surface d’attaque classique reste là, mais les attaquants, eux, vont beaucoup plus vite.
