Des chercheurs de Hacktron AI ont démontré une chaîne d’attaque leur permettant de prendre le contrôle de comptes ChatGPT et Codex liés à des employés d’OpenAI. L’opération a combiné une vulnérabilité d’exécution de code sur le forum communautaire propulsé par Discourse et une faiblesse dans la frontière d’authentification unique d’OpenAI.
Anthropic Claude a aidé l’équipe à analyser et fiabiliser l’exploitation de la faille mémoire. Il est toutefois inexact d’affirmer que « Claude a piraté OpenAI » de manière autonome : les chercheurs humains ont choisi la cible, dirigé les travaux, réalisé l’intrusion contrôlée et signalé les vulnérabilités.
Une image HEIF comme point d’entrée
Le premier maillon se situait sur community.openai.com. Lors du traitement d’une image HEIF téléversée, une version vulnérable de la bibliothèque libheif pouvait subir un débordement de mémoire. L’équipe a développé une image spécialement conçue afin d’obtenir une exécution de code à distance dans l’environnement Discourse.
Les premières tentatives assistées par une version antérieure de Claude n’ont pas abouti. Une version plus récente a ensuite aidé à comprendre l’organisation de la mémoire et à construire un exploit suffisamment fiable. Ce résultat illustre l’accélération que les modèles avancés peuvent apporter à la recherche offensive, sans supprimer le besoin d’expertise humaine.
Du forum aux comptes ChatGPT et Codex
L’accès au serveur du forum ne devait pas, en principe, ouvrir les systèmes d’OpenAI. La chaîne a pourtant révélé une faiblesse liée au SSO et aux jetons de connexion. Les chercheurs ont pu pivoter vers le compte ChatGPT d’un employé et vers Codex.
Ce compte Codex étant connecté à l’organisation GitHub d’OpenAI, l’équipe a pu atteindre un dépôt privé. Elle a démontré l’impact au moyen d’une modification inoffensive, puis a interrompu ses tests et engagé une divulgation coordonnée.
- téléversement d’une image HEIF malveillante sur Discourse ;
- déclenchement d’une corruption mémoire dans libheif ;
- exécution de code sur l’infrastructure du forum ;
- récupération ou détournement de jetons de connexion ;
- pivot via la faiblesse SSO vers ChatGPT et Codex ;
- accès démontré à un dépôt GitHub interne connecté.
OpenAI et Discourse ont corrigé les failles
OpenAI a indiqué avoir réduit les permissions des jetons de connexion communautaires et révoqué les jetons et sessions concernés. La vulnérabilité du côté Discourse a fait l’objet de l’avis GHSA-vhm9-85gw-x335. Hacktron affirme que l’ensemble du parcours, de la découverte à l’accès démontré, a pris moins de 72 heures.
OpenAI a versé une prime de 6 500 dollars pour la faiblesse relevant de son périmètre. Le forum Discourse lui-même était, selon une précision attribuée à l’entreprise, explicitement exclu du programme de bug bounty OpenAI.
La leçon principale : surveiller les relations de confiance
Cette affaire ne concerne pas uniquement la sécurité d’un modèle d’IA. Elle révèle surtout le danger des connexions entre services : un forum public, un fournisseur SSO, des comptes professionnels, un agent de développement et une plateforme de code source.
Une application secondaire compromise peut devenir une passerelle vers des actifs bien plus sensibles si les jetons sont trop permissifs ou si les identités sont fédérées sans séparation suffisante.
- limiter la portée et la durée de vie des jetons SSO ;
- séparer les identités communautaires des comptes internes ;
- traiter les images et documents dans des environnements isolés ;
- tenir à jour les bibliothèques natives de décodage ;
- auditer les connexions entre assistants IA, dépôts de code et outils d’entreprise ;
- détecter les créations de sessions et les accès inhabituels après authentification.
L’IA accélère aussi bien la défense que l’attaque
Les outils génératifs rendent certaines analyses plus rapides et peuvent aider des équipes réduites à explorer des vulnérabilités complexes. Mais l’incident montre que les contrôles classiques restent essentiels : gestion des dépendances, isolation, moindre privilège, segmentation des identités et journalisation.
L’enjeu n’est donc pas seulement de restreindre les modèles. Il consiste à bâtir des environnements où une réussite technique ponctuelle ne peut pas se transformer en compromission en cascade.
