Trois chercheurs en cybersécurité ont réussi à compromettre plusieurs comptes ChatGPT et Codex d’employés d’OpenAI, puis à démontrer un accès au dépôt GitHub interne de l’entreprise. Leur équipe ne comptait que trois personnes et s’est largement appuyée sur Claude, l’intelligence artificielle d’Anthropic.
L’opération n’était pas une attaque criminelle. Harsh Jaiswal, Mohan Pedhapati et Rahul Maini, chercheurs chez Hacktron AI, travaillaient sur des vulnérabilités qu’ils ont ensuite signalées à OpenAI et à Discourse. Entre le début de leurs recherches et la démonstration de l’accès au dépôt interne d’OpenAI, moins de 72 heures se sont écoulées.
Le plus marquant reste le rôle joué par l’IA : une version de Claude avait d’abord échoué sur une partie particulièrement complexe de l’exploitation. Claude Opus 5 a ensuite réussi en quelques heures.
Tout commence par une image envoyée sur le forum d’OpenAI
L’équipe s’intéresse en juillet 2026 à community.openai.com, le forum officiel d’OpenAI basé sur la plateforme Discourse.
Le 23 juillet, les chercheurs examinent la manière dont le forum traite les images envoyées par les utilisateurs. Les fichiers HEIC et HEIF, notamment utilisés par les iPhone, suivent un chemin particulier : ils sont transmis à ImageMagick pour être convertis, ce qui expose une bibliothèque appelée libheif.
Les chercheurs demandent alors à Claude Opus 4.8 d’analyser cette dépendance.
Le modèle identifie que certaines corrections de sécurité apportées au projet libheif n’ont pas été intégrées dans les versions utilisées par l’environnement étudié. Cette situation permet d’exploiter une erreur de mémoire lors du décodage d’une image spécialement conçue.
En clair, une simple fonctionnalité destinée à traiter des photos pouvait servir de porte d’entrée vers le serveur du forum.
Ce type de problème illustre parfaitement la difficulté actuelle à sécuriser des systèmes reposant sur de nombreuses briques logicielles différentes. Menow évoquait récemment un autre cas où Claude avait accédé au système réel d’une entreprise pendant un test censé rester isolé.
Claude Opus 4.8 échoue, Opus 5 réussit en trois heures
Trouver une vulnérabilité ne suffit pas. Il faut encore parvenir à la transformer en méthode d’exploitation réellement fonctionnelle malgré les protections du système.
C’est à cette étape que l’expérience de Hacktron devient particulièrement intéressante.
Le 24 juillet, Claude Opus 4.8 parvient à produire une exploitation fonctionnelle lorsque certaines protections sont désactivées. Les chercheurs lancent ensuite plusieurs sessions pour obtenir quelque chose de suffisamment fiable dans les conditions réelles utilisées par Discourse.
Sans succès.
Le même soir, Anthropic lance Claude Opus 5.
Hacktron soumet alors pratiquement le même problème au nouveau modèle. Selon le récit détaillé publié par les chercheurs, Opus 5 produit en moins de trois heures une exploitation fonctionnelle sur une machine ARM64.
Le modèle aide ensuite l’équipe à l’adapter à l’environnement utilisé par Discourse.
Le 25 juillet au matin, les chercheurs confirment qu’ils peuvent obtenir une exécution de code à partir de l’envoi d’une image. Quelques heures plus tard, ils réussissent également leur test sur une instance Discourse Cloud contrôlée par leurs soins, avant de confirmer que la méthode fonctionne sur l’environnement du forum d’OpenAI.
Ce passage d’Opus 4.8 à Opus 5 est central dans leur retour d’expérience. Une tâche sur laquelle plusieurs sessions du modèle précédent avaient échoué est devenue réalisable quelques heures après la sortie de sa nouvelle génération.
Le forum permet ensuite d’atteindre des comptes ChatGPT et Codex
La vulnérabilité du traitement des images n’était pourtant que la première partie du problème.
Hacktron identifie également une faiblesse dans le système d’authentification unique d’OpenAI, utilisé pour connecter différents services avec le même compte.
En combinant les deux vulnérabilités, les chercheurs affirment avoir pu prendre le contrôle de comptes ChatGPT et Codex appartenant à plusieurs employés d’OpenAI.
L’un de ces comptes Codex était connecté à l’organisation GitHub interne de l’entreprise.
Les chercheurs auraient théoriquement pu aller beaucoup plus loin : les comptes ChatGPT et Codex peuvent être reliés à différents services, notamment GitHub, Slack ou des messageries.
Ils expliquent toutefois avoir volontairement limité leurs actions.
Pour prouver à OpenAI que leur accès était réel sans consulter le code interne, ils ont demandé au Codex d’un employé compromis de créer une modification inoffensive dans le dépôt privé openai/openai.
Une pull request portant le numéro 1186742 a ainsi été créée.
À ce stade, l’équipe affirme avoir arrêté ses tests.
OpenAI a corrigé la faille environ 14 heures après son signalement
Hacktron a signalé le problème à OpenAI via son programme de bug bounty le 25 juillet.
Après avoir démontré qu’un compte d’employé pouvait être compromis, l’équipe a complété son rapport et contacté directement des membres de la sécurité d’OpenAI.
OpenAI a confirmé le correctif environ 14 heures après le premier signalement.
Discourse a également été averti. L’entreprise a préparé un correctif le 27 juillet et renforcé l’isolation du traitement des images.
OpenAI a finalement versé 6 500 dollars de récompense aux chercheurs. L’entreprise a précisé que les tests réalisés directement contre le forum Discourse n’entraient pas dans le périmètre normal de son programme de bug bounty : la prime récompensait la vulnérabilité concernant les propres systèmes d’OpenAI.
Cette affaire arrive alors que l’entreprise publie davantage d’informations sur les comportements inattendus de ses modèles. Menow rapportait notamment qu’OpenAI avait révélé six nouveaux cas de comportements indésirables de ses IA.
Trois chercheurs et quelques milliers de dollars de calcul
L’équipe insiste surtout sur ce que l’expérience révèle à propos de l’évolution de la cybersécurité avec l’intelligence artificielle.
La compromission d’OpenAI ne constitue qu’une partie d’un projet beaucoup plus large baptisé HEIF Heist. Pendant environ deux mois, Hacktron a étudié des systèmes utilisés notamment par Slack, Meta et GitHub Enterprise.
Selon les chercheurs, l’ensemble de cette campagne a nécessité moins de 3 000 dollars de crédits IA et seulement trois personnes.
Ils précisent néanmoins que le piratage n’était pas entièrement autonome. Une expertise humaine restait nécessaire pour guider les modèles, comprendre les résultats et choisir les prochaines étapes.
C’est précisément ce changement qui mérite l’attention.
L’IA ne transforme pas automatiquement n’importe quel utilisateur en expert de la cybersécurité. Elle peut en revanche réduire considérablement le temps nécessaire à des spécialistes pour développer et adapter des techniques complexes.
OpenAI avait d’ailleurs déjà averti que les cyberattaques assistées par IA pourraient devenir plus persistantes et plus automatisées.
L’expérience de Hacktron donne désormais un exemple très concret de cette évolution : trois chercheurs, équipés de modèles disponibles commercialement, sont passés d’une faiblesse dans le traitement d’une image à un compte Codex connecté au dépôt interne de l’une des entreprises d’IA les plus importantes au monde, en moins de trois jours.
Les vulnérabilités utilisées ont depuis été corrigées. Mais pour les chercheurs, la leçon dépasse largement OpenAI : à mesure que les modèles progressent, le coût et le temps nécessaires pour transformer une faille logicielle en attaque exploitable pourraient continuer à diminuer.
Source : Hacktron AI (hacktron.ai)
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
