L’essentiel
- Trois chercheurs de l’équipe de sécurité Hacktron ont pris la main sur des comptes ChatGPT et Codex d’employés d’OpenAI, puis atteint son dépôt de code interne sur GitHub, en moins de 72 heures.
- L’attaque enchaînait une faille de la bibliothèque d’images libheif, sur le forum community.openai.com, et une mauvaise configuration du système de connexion unique d’OpenAI.
- Claude Opus 4.8 butait sur la protection mémoire ASLR ; Claude Opus 5 a livré un exploit fonctionnel en trois heures.
- Étendue à Slack, Meta ou GitHub Enterprise, la campagne a coûté moins de 3 000 dollars d’IA à trois personnes, sur deux mois.
Une photo au format HEIC, déposée sur un forum d’entraide. Au bout de la chaîne, un accès au dépôt de code interne d’OpenAI. Entre les deux, un agent Claude Opus 5 qui a réussi en quelques heures ce que son prédécesseur n’arrivait pas à faire en plusieurs sessions.
L’équipe de Hacktron, qui a mené l’opération et l’a documentée sous le nom de « HEIF Heist », décrit un enchaînement où rien n’est exotique : deux failles banales, que personne n’avait reliées, et un modèle qui a franchi un seuil technique précis.
Une image piégée, puis les badges de tout le personnel
Le point d’entrée est le forum communautaire d’OpenAI, qui tourne sous Discourse. Pour afficher les images HEIC (le format photo des iPhone) envoyées par les membres, le serveur s’appuie sur libheif, une bibliothèque open source. Le correctif existait depuis un an dans le code de la bibliothèque, mais personne ne l’avait signalé comme un problème de sécurité. Les paquets Debian installés sur le forum ne l’intégraient donc pas.
Une image fabriquée sur mesure a suffi pour exécuter du code arbitraire sur le serveur. Première porte.
La seconde est plus inquiétante. Le forum utilise « Sign in with OpenAI », le SSO (single sign-on, connexion unique) de l’entreprise. Mal configuré, ce système permettait à quiconque contrôlait le serveur du forum de se faire passer pour ses membres actifs, et donc de récupérer leurs comptes ChatGPT et Codex. Imaginez l’accueil d’un immeuble de bureaux : on force la loge du gardien, et on découvre que les badges qu’il imprime ouvrent aussi les étages de la direction.
Parmi les membres du forum figuraient des employés d’OpenAI. Avec le compte Codex de l’un d’eux, les chercheurs ont ouvert une pull request inoffensive dans le monorepo (le dépôt unique qui regroupe le code interne de l’entreprise), à titre de preuve. Ils affirment n’avoir consulté aucune donnée sensible. Hacktron souligne aussi que le défaut dépassait le forum : tout service compromis utilisant la connexion OpenAI aurait offert le même accès.
L’ASLR, la serrure qu’Opus 4.8 ne savait pas crocheter
Le rôle de l’IA tient à une protection que la plupart des lecteurs ne voient jamais : l’ASLR (Address Space Layout Randomization, randomisation de l’espace d’adressage). À chaque lancement d’un programme, le système place ses éléments en mémoire à des adresses tirées au hasard. Un exploit qui corrompt la mémoire doit savoir où viser. Avec l’ASLR, c’est comme cambrioler une maison dont les pièces changent de place chaque nuit.
Les chercheurs ont d’abord travaillé avec Claude Opus 4.8. Le modèle a bien produit un exploit, mais seulement avec l’ASLR désactivée. Sur plusieurs sessions, il n’a jamais obtenu de version fiable avec la protection active.
Anthropic a publié Claude Opus 5 le soir du 24 juillet. D’après Hacktron, le nouveau modèle a produit un exploit fonctionnel sur un Mac local en trois heures, puis l’a adapté à l’environnement serveur de Discourse. L’équipe a ensuite fait tourner Claude en boucle autonome contre sa propre instance de test : quatre heures plus tard, l’agent contrôlait le serveur. Sur une tâche voisine, les chercheurs disent aussi avoir constaté un net écart de performance face à GPT-5.6 Sol, le modèle d’OpenAI.
Un classement de benchmark n’aurait pas montré cela aussi nettement. Le saut d’une génération à l’autre se mesure ici à une défense classique, déployée partout, qui tenait face à Opus 4.8 et a cédé face à Opus 5.
Rebaptisée « benchmark », la cible ne gênait plus Claude
Au départ, Claude refusait d’écrire des exploits visant des systèmes réels. Les chercheurs lui ont donc présenté la cible comme une tâche de benchmark, et le modèle s’est exécuté.
Dans ce cas précis, l’agent attaquait une instance de test appartenant à l’équipe, ce qui relève de la recherche légitime. Mais la mécanique est générale : un modèle n’a aucun moyen de vérifier à qui appartient le serveur qu’on lui décrit. Ses garde-fous jugent la formulation de la demande, sans prise sur la réalité de la cible.
Une réserve s’impose sur l’ensemble : ces chiffres proviennent du compte rendu de Hacktron. Les durées, la comparaison avec GPT-5.6 Sol et le rôle exact de chaque modèle n’ont pas fait l’objet d’une mesure indépendante.
Moins de 3 000 dollars, un à deux jours par nouvelle cible
L’équipe ne s’est pas arrêtée à OpenAI. Elle a étendu la même approche à Slack, Meta, GitHub Enterprise et d’autres cibles. Trois personnes, deux mois de travail, moins de 3 000 dollars dépensés en IA. Adapter l’attaque à une nouvelle cible prenait un à deux jours.
Hacktron décrit la fin d’une forme de « sécurité par la complexité ». Jusqu’ici, un code source public et une faille connue ne suffisaient pas à produire une attaque fiable : il fallait du temps et de l’expertise. Quand un agent comble ce fossé en quelques heures, le coût d’une intrusion ciblée s’effondre.
Les laboratoires d’IA deviennent alors des cibles de choix. Un compte Codex ou ChatGPT peut être relié à GitHub, à Slack, à une messagerie : prendre un assistant, c’est potentiellement prendre tout ce qui y est branché. Et les outils capables de le faire sont ceux-là mêmes que ces laboratoires vendent, y compris à leurs concurrents.
Pour une équipe technique, l’affaire se traduit en trois vérifications :
- les bibliothèques qui traitent des fichiers envoyés par des inconnus (images, documents) doivent suivre les correctifs amont, pas seulement ceux étiquetés comme failles ;
- chaque service satellite accepté par votre fournisseur d’identité est une porte vers le compte principal, forum compris ;
- des plantages répétés dans le traitement d’images sont un signal d’alerte. Parmi les entreprises visées, seul Shopify a repéré l’activité, malgré des milliers d’envois et des crashs à répétition.
OpenAI a confirmé le correctif environ 14 heures après le signalement, Discourse a suivi en quelques jours. Le correctif de libheif, lui, attendait depuis un an : personne ne l’avait lu comme une faille, une équipe armée d’un modèle l’a lu comme une porte d’entrée.
Mon avis
Le maillon qui m’inquiète le plus dans cette affaire est le refus du modèle, levé en rebaptisant la cible « benchmark ». Tant qu’un agent ne peut pas vérifier à qui appartient le serveur qu’il attaque, ses garde-fous arrêtent les maladroits, pas les équipes déterminées. J’attends donc des laboratoires qu’ils investissent davantage dans le durcissement de leurs propres forums, SSO et outils internes que dans le polissage des refus : quiconque les vise dispose désormais des mêmes agents qu’eux.
