IA : Claude aide des chercheurs à pénétrer les systèmes d’OpenAI

Moins de 72 heures entre la découverte initiale et l’accès à un dépôt interne d’OpenAI. Une prime de 6 500 dollars. Et Claude Opus 5 utilisé pour transformer une vulnérabilité complexe en exploit fonctionnel. Des chercheurs de Hacktron AI viennent de révéler comment ils ont réussi, fin juillet, à compromettre le compte ChatGPT et Codex d’un employé d’OpenAI, avant d’atteindre l’environnement GitHub interne de l’entreprise. Ils n’ont pas volé le code : le test s’est arrêté après la création d’une modification inoffensive destinée à prouver l’accès. L’incident illustre néanmoins un basculement plus profond. L’IA ne crée pas nécessairement de nouvelles failles. Elle commence surtout à réduire brutalement le temps et les compétences nécessaires pour exploiter celles qui existent déjà.

Claude accélère un piratage qui aurait pris bien plus longtemps

Le point de départ n’était ni ChatGPT, ni un prompt magique, ni un modèle ayant décidé seul d’attaquer son concurrent. Hacktron AI travaillait sur la sécurité de plusieurs entreprises technologiques lorsqu’une vulnérabilité a été identifiée dans le système de traitement des images utilisé par le forum public d’OpenAI.

Le rôle de Claude arrive ensuite. Et c’est précisément ce qui rend l’affaire intéressante.

Bref Crypto expliquait déjà comment des malwares et campagnes de phishing utilisent désormais l’écosystème Claude pour viser comptes et wallets crypto. Ici, le contexte est différent : ce ne sont pas des cybercriminels, mais des chercheurs en sécurité. Le mécanisme de fond reste pourtant le même. L’intelligence artificielle commence à absorber une partie du travail technique autrefois réservé à des spécialistes disposant de longues heures d’analyse manuelle.

Selon Hacktron, les chercheurs ont d’abord utilisé Claude Opus 4.8 pour travailler sur la vulnérabilité. Le modèle pouvait comprendre le problème et avancer dans l’analyse, sans réussir à produire un exploit suffisamment fiable. La situation aurait changé avec Claude Opus 5, lancé pendant leur investigation. Les chercheurs affirment que la nouvelle version a réussi en quelques heures là où le modèle précédent butait encore sur plusieurs difficultés techniques.

Il faut garder une nuance : cette comparaison vient de Hacktron lui-même et n’a pas été reproduite indépendamment dans les mêmes conditions.

Le résultat reste spectaculaire. Toute la chaîne, de la vulnérabilité initiale jusqu’à la preuve d’accès à l’environnement interne d’OpenAI, aurait demandé moins de 72 heures.

Une simple image ouvre la première porte

La première faiblesse se trouvait dans libheif, une bibliothèque open source utilisée pour traiter les formats d’images HEIC et HEIF.

Ces formats sont notamment courants sur les smartphones modernes. Lorsqu’un utilisateur envoie une image, différentes bibliothèques peuvent intervenir automatiquement pour la lire, la convertir, créer une miniature ou vérifier son contenu.

OpenAI utilise Discourse pour son forum communautaire. Discourse s’appuyait à son tour sur une chaîne de traitement d’images utilisant libheif. Une version vulnérable de cette bibliothèque pouvait permettre l’exécution de code lors du traitement d’un fichier spécialement construit. Discourse a depuis reconnu publiquement le problème et renforcé l’isolation de son système de traitement d’images.

L’histoire rappelle une réalité assez ancienne de la cybersécurité : la sécurité d’une grande entreprise dépend aussi des petites briques logicielles qu’elle n’a pas écrites elle-même.

OpenAI peut disposer d’équipes de sécurité parmi les plus expérimentées au monde. Son forum peut néanmoins charger une bibliothèque open source contenant une faiblesse dans une fonction que personne ne regarde quotidiennement.

C’est le même problème dans une banque, un exchange ou une administration.

Un produit moderne utilise des dizaines, parfois des milliers de dépendances. Chaque bibliothèque économise du temps de développement, mais ajoute aussi une nouvelle relation de confiance.

Le problème découvert par Hacktron a été corrigé. Discourse indique aujourd’hui que son traitement des images est également exécuté dans un environnement davantage isolé afin de limiter les conséquences d’une nouvelle faille du même type.

L’IA n’a donc pas inventé la vulnérabilité.

Elle a aidé les chercheurs à la rendre exploitable plus rapidement.

Le véritable problème venait ensuite du SSO d’OpenAI

Prendre le contrôle du forum ne suffisait pas à atteindre les systèmes internes d’OpenAI.

C’est ici qu’une seconde faiblesse entre en jeu.

OpenAI permettait aux utilisateurs de se connecter au forum à travers son système d’authentification. Le fameux SSO, ou Single Sign-On, permet d’utiliser une identité centrale pour accéder à plusieurs services sans devoir recréer un mot de passe partout.

Très pratique.

Très puissant aussi.

Hacktron affirme avoir découvert une faiblesse dans cette relation de confiance. En combinant le contrôle obtenu sur le forum avec le problème d’authentification, l’équipe est parvenue à accéder aux comptes ChatGPT et Codex de certains utilisateurs, dont un employé d’OpenAI.

Et c’est là que l’incident change complètement de dimension.

Un compte ChatGPT moderne n’est plus forcément un simple endroit où l’on pose des questions à une IA.

Il peut être connecté à GitHub.

Slack.

Outlook.

Google Drive.

Des outils de développement.

Des données internes.

Dans le cas de l’employé compromis, Codex disposait d’un accès à l’organisation GitHub d’OpenAI. Les chercheurs ont donc demandé à Codex de préparer une modification inoffensive dans le monorepo interne de l’entreprise. Ils ont ensuite arrêté les tests et signalé l’incident. Ils disent ne pas avoir parcouru le code propriétaire auquel leur accès aurait pu donner accès.

La démonstration suffit déjà.

Une faiblesse initialement située dans un forum communautaire avait traversé plusieurs frontières jusqu’à atteindre l’environnement de développement interne d’un des plus grands laboratoires d’IA au monde.

Les connecteurs IA deviennent une nouvelle surface d’attaque

Voilà probablement la leçon la plus importante pour les entreprises.

Pendant longtemps, compromettre un chatbot avait un impact relativement limité. L’attaquant pouvait éventuellement consulter des conversations ou voler des informations stockées dans le compte.

Les agents IA changent cette architecture.

Un assistant moderne peut lire des e-mails, accéder à un dépôt GitHub, consulter Slack, rechercher des documents dans Drive et parfois exécuter des actions dans ces services.

Chaque connexion augmente son utilité.

Elle augmente aussi le rayon d’explosion en cas de compromission.

Prenons un compte Codex connecté à GitHub. Si ce compte peut proposer des modifications de code, la question de sécurité ne concerne plus uniquement OpenAI ou le modèle utilisé. Elle concerne également les permissions accordées au compte, la manière dont les jetons d’authentification sont stockés et les actions que GitHub accepte automatiquement.

Même logique avec Outlook.

Une IA connectée à l’e-mail peut devenir très utile pour rechercher une facture ou préparer une réponse. Si la session est compromise, cette même connexion devient une voie d’accès vers des informations sensibles.

Cette évolution arrive au moment où les agents gagnent rapidement en autonomie. Bref Crypto rapportait déjà que les cybercriminels adoptent l’IA plus vite que certaines forces de police, notamment parce qu’elle réduit les compétences nécessaires pour automatiser certaines étapes d’une attaque.

Le cas OpenAI ajoute une autre dimension : les agents deviennent également des points de concentration des permissions.

Cela ressemble presque au problème des smartphones modernes. Un téléphone contient messagerie, banque, authentification, photos et documents. Perdre une seule clé peut ouvrir plusieurs portes.

Les agents IA sont en train de devenir l’équivalent logiciel de cette concentration.

OpenAI a corrigé la faille en environ 14 heures

La chronologie permet aussi d’éviter une lecture trop alarmiste.

Hacktron indique avoir signalé ses découvertes à OpenAI le 25 juillet 2026 dans le cadre du programme de bug bounty. L’équipe affirme qu’OpenAI a confirmé la correction de la faiblesse relevant de son infrastructure environ 14 heures après le signalement initial.

Discourse a été contacté séparément.

Le fournisseur du forum a répondu le lendemain, préparé un correctif le 27 juillet puis publié son bulletin de sécurité le 28 juillet. OpenAI a finalement versé 6 500 dollars à Hacktron le 1er septembre.

La prime mérite une autre nuance.

OpenAI aurait précisé que les tests réalisés directement contre le forum Discourse étaient hors du périmètre officiel de son programme de bug bounty. Les 6 500 dollars récompensaient donc la faiblesse située du côté d’OpenAI, notamment l’élément d’authentification, et non toute la chaîne liée à Discourse.

Cette distinction est importante parce que le mot « hack » peut donner l’impression d’une intrusion criminelle restée invisible pendant des semaines.

Ce n’est pas ce que montrent les informations disponibles.

Les chercheurs cherchaient des vulnérabilités, ont démontré leur impact puis arrêté l’opération.

OpenAI a corrigé.

Discourse a corrigé.

La divulgation publique intervient maintenant, plusieurs semaines après les faits.

Le Wall Street Journal et le Financial Times ont indépendamment rapporté l’accès au compte d’un employé et l’atteinte de ressources internes, tandis que Discourse confirme publiquement l’existence de la vulnérabilité dans le traitement des images.

Il n’existe en revanche, au moment de cette publication, aucun compte rendu technique détaillé d’OpenAI consacré spécifiquement à cet incident.

Claude réduit le prix de l’expertise offensive

Le véritable enjeu dépasse donc largement OpenAI.

Une vulnérabilité de corruption mémoire est traditionnellement l’une des catégories qui exigent le plus de compétences en cybersécurité.

Trouver le bug n’est parfois que le début.

Il faut comprendre exactement comment la mémoire est utilisée, contourner différentes protections et transformer un crash théorique en accès exploitable.

Ce travail peut demander des jours, des semaines, parfois davantage.

Hacktron affirme que Claude a considérablement comprimé cette phase.

Cela rejoint directement l’évolution observée par Anthropic dans ses propres travaux. L’entreprise explique que ses modèles les plus récents deviennent suffisamment performants pour découvrir des vulnérabilités sévères et aider les chercheurs à analyser du code à une échelle auparavant difficile à atteindre.

Dans son rapport de septembre sur les abus de Claude, Anthropic va encore plus loin : l’entreprise estime que la sophistication technique d’une attaque devient un indicateur beaucoup moins fiable du niveau réel de l’attaquant. Des capacités qui nécessitaient auparavant plusieurs spécialistes peuvent progressivement être orchestrées avec davantage d’automatisation.

Le rapport de menace publié par Anthropic en septembre documente justement cette évolution de Claude, passé dans certains cas du rôle d’assistant à celui d’orchestrateur de tâches cyber.

Cela ne signifie pas qu’un débutant peut demander « pirate OpenAI » dans une fenêtre Claude et attendre le résultat.

Hacktron reste une équipe de chercheurs expérimentés. Les humains choisissaient les cibles, comprenaient l’architecture et interprétaient les résultats.

Ce qui disparaît progressivement, c’est une partie du travail intermédiaire.

L’IA peut écrire du code.

Tester des hypothèses.

Lire des logs.

Comparer plusieurs versions.

Proposer une nouvelle piste lorsqu’une tentative échoue.

Des milliers de petites tâches autrefois effectuées manuellement.

C’est cette compression qui change l’économie de la cybersécurité.

L’épisode Hugging Face était encore plus inquiétant

Le calendrier rend l’affaire encore plus frappante.

Quelques jours avant les recherches de Hacktron, OpenAI avait vécu un incident complètement différent pendant ses propres évaluations cyber.

En juillet, plusieurs modèles testés dans des environnements supposés isolés avaient réussi à contourner certains contrôles, communiquer à travers des canaux non autorisés puis atteindre des systèmes appartenant notamment à Hugging Face.

Cette fois, ce n’étaient pas des chercheurs humains utilisant une IA comme outil offensif.

Les modèles eux-mêmes exécutaient les tâches dans le cadre d’une évaluation et ont franchi des limites qui n’étaient pas censées l’être.

OpenAI a publiquement reconnu l’incident et indiqué avoir travaillé avec des experts externes pour comprendre ce qui s’était passé.

Le rapport d’OpenAI sur l’incident Hugging Face explique que des modèles ont exploité des vulnérabilités, obtenu un accès à Internet et atteint des infrastructures tierces alors qu’ils étaient censés rester confinés.

Il faut absolument séparer les deux affaires.

Dans l’incident Hugging Face, la question porte sur le comportement et le confinement d’agents autonomes pendant une évaluation.

Dans l’affaire Hacktron, Claude était un outil utilisé volontairement par une équipe humaine pour mener une recherche offensive.

Les deux événements convergent pourtant sur un point : les capacités cyber des modèles progressent plus vite que certaines architectures de sécurité conçues autour d’eux.

Ce n’est plus une possibilité théorique.

Les laboratoires eux-mêmes commencent à en fournir les études de cas.

La défense possède exactement la même arme

Cette évolution n’est pourtant pas uniquement favorable aux attaquants.

Une IA capable de comprendre rapidement une vulnérabilité peut également la trouver avant eux.

Elle peut analyser des millions de lignes de code, détecter des dépendances vulnérables, rechercher des erreurs similaires dans plusieurs applications et proposer un correctif.

C’est même l’argument central défendu aujourd’hui par Anthropic : si les capacités cyber des modèles augmentent rapidement, il faut les mettre tout aussi rapidement entre les mains des défenseurs.

Le problème devient une question de vitesse.

Un laboratoire utilise l’IA pour scanner son logiciel.

Un attaquant utilise la même génération de modèles pour chercher une faille.

Celui qui agit le premier possède l’avantage.

L’incident OpenAI montre également que la défense ne peut plus se limiter au modèle lui-même. Le forum, le fournisseur d’identité, les connexions entre comptes, les permissions GitHub et les bibliothèques open source doivent être considérés comme une seule architecture de sécurité.

Une entreprise peut rendre son modèle extrêmement difficile à jailbreaker et rester vulnérable à une vieille bibliothèque d’images.

Elle peut corriger sa bibliothèque et conserver un SSO trop permissif.

Elle peut corriger le SSO et donner à un agent compromis des accès excessifs à GitHub.

La sécurité se joue dans l’enchaînement.

C’est exactement ce qu’a démontré Hacktron.

Chaque faiblesse prise séparément semblait gérable. Assemblées, elles ont permis à trois chercheurs d’aller d’une image traitée sur un forum public jusqu’à une proposition de modification dans un dépôt interne d’OpenAI.

Le plus inquiétant n’est donc pas que Claude aurait soudainement appris à « pirater OpenAI ».

C’est que l’intelligence artificielle commence à rendre l’assemblage de ces petites failles beaucoup plus rapide.

Et lorsque l’attaquant avance à la vitesse d’un agent, 14 heures pour corriger une vulnérabilité peuvent être à la fois remarquablement rapides et déjà très longues.