Claude a servi à entrer chez OpenAI, en moins de 72 heures

Transparence. Ce blog est rédigé avec Claude, le modèle d’Anthropic, et DTJ Training forme à son usage : nous avons donc un intérêt direct dans l’outil dont il est question ici.

Une photo prise avec un iPhone, déposée sur un forum d’entraide. C’est par là que trois chercheurs sont entrés, le 25 juillet 2026, et qu’ils ont fini avec les comptes ChatGPT de salariés d’OpenAI et un accès au dépôt de code interne de l’entreprise. Durée totale, de la première idée au dépôt de code : moins de soixante-douze heures.

L’affaire est devenue publique le 18 septembre, quand l’équipe de Hacktron AI, une jeune société de sécurité, a publié son compte rendu. La presse française l’a reprise le 19.

Le cadre : autorisé d’un côté, hors périmètre de l’autre

Point à établir d’abord, parce que plusieurs titres l’ont escamoté : il ne s’agit pas d’une attaque criminelle. Les chercheurs travaillaient dans le cadre du programme de primes aux bogues d’OpenAI, hébergé sur Bugcrowd, et ont signalé leurs trouvailles à OpenAI comme à Discourse.

Mais le cadre a une couture. Le forum communautaire d’OpenAI tourne sur Discourse, un logiciel tiers hébergé par un tiers, et OpenAI a indiqué que les tests contre cette instance étaient explicitement exclus de son programme. La prime de 6 500 dollars, versée le 1er septembre, récompense la partie OpenAI de la découverte, pas ce qui a été fait contre Discourse.

C’est une nuance utile à quiconque commande un audit : le périmètre d’une prime aux bogues s’arrête où commence l’infrastructure d’un fournisseur, alors qu’un attaquant, lui, ne connaît pas cette frontière.

La chaîne, maillon par maillon

Elle mérite d’être déroulée, parce qu’aucun de ses maillons ne s’appelle « intelligence artificielle ».

Discourse accepte les images au format HEIC, celui des photos d’iPhone. Pour les lire, il passe par ImageMagick, qui s’appuie sur une bibliothèque nommée libheif. Les versions 1.19.7 et 1.19.8 de libheif, livrées dans Debian 12 et 13, comportaient un débordement de tas dans le décodeur HEIC. Au moment de la découverte, aucun numéro CVE n’existait : le correctif publié en amont n’avait pas été signalé comme correctif de sécurité. Un identifiant a été attribué depuis, CVE-2026-32882.

Une image fabriquée pour l’occasion a donc corrompu la mémoire du serveur du forum et permis d’y exécuter du code. De là, les chercheurs ont exploité une seconde faiblesse, dans le système d’authentification unique d’OpenAI, pour prendre le contrôle de comptes de salariés. Ces comptes ouvraient ChatGPT et Codex ; Codex ouvrait le dépôt interne openai/openai, dans lequel ils ont ouvert une demande de fusion inoffensive pour prouver l’accès. Les connecteurs rattachés aux comptes donnaient aussi sur GitHub, Slack et la messagerie.

Une dépendance obscure dans la bibliothèque d’images d’un logiciel de forum. Voilà le point d’entrée qui menait aux comptes internes du laboratoire qui édite ChatGPT.

Ce que le modèle d’Anthropic a fait, exactement

Là encore, la presse a raccourci. Claude n’a pas « piraté OpenAI ». Il a fait le travail le plus coûteux en expertise humaine : écrire un exploit fiable.

Claude Opus 4.8 a d’abord repéré les failles de libheif dans l’image Docker de Discourse et produit des embryons d’exploit, inutilisables dès que la randomisation de la mémoire était active. Claude Opus 5, sorti le 24 juillet, a résolu ce blocage. Trois heures pour un exploit ARM64 fiable, puis un portage vers l’architecture x86-64 correspondant à l’environnement de Discourse. Une session en autonomie a obtenu l’exécution de code sur l’instance de test.

L’équipe résume ainsi le saut entre les deux versions : « Opus 4.8 a peiné sur plusieurs sessions à produire un exploit fonctionnel avec l’ASLR activé. Quelques heures après la sortie d’Opus 5, nous lui avons donné le même problème et il a réussi. » TechCrunch souligne le prix de cette capacité : un abonnement d’environ 200 dollars par mois.

Nous ne relayons pas cette information pour faire frissonner. Elle dit quelque chose de précis sur la structure du risque. L’écriture d’exploits mémoire fiables était jusqu’ici une compétence rare, longue à acquérir, détenue par quelques centaines de personnes. Ce qui protégeait les logiciels, ce n’était pas seulement leur solidité, c’était le coût d’entrée pour les attaquer. Ce coût baisse.

Le détail que personne n’a relevé

Il est dans le compte rendu de Hacktron et vaut, pour un dirigeant, plus que tout le reste : hors Shopify, les chercheurs n’ont connaissance d’aucune entreprise ayant détecté leur activité, alors que des milliers d’images malformées ont été envoyées.

Relisez cette phrase en pensant à votre propre site.

Des milliers de fichiers anormaux déposés sur des formulaires publics, et un seul défenseur qui s’en aperçoit. Ce n’est pas une défaillance d’OpenAI en particulier, c’est l’état ordinaire de la surveillance des dépôts de fichiers. Le jour où quelqu’un tente la même chose chez vous sans intention de prévenir, le silence sera le même.

Quatre décisions concrètes

Inventoriez vos logiciels tiers exposés. Forum, espace client, formulaire de candidature, outil de ticket : tout ce qui accepte un fichier venu de l’extérieur. C’est la même leçon que dans Fuites de données : le maillon faible est le prestataire, appliquée cette fois au code plutôt qu’aux données.

Restreignez les formats acceptés. Si votre formulaire n’a pas besoin du HEIC, refusez-le. Chaque format accepté ajoute un décodeur, et chaque décodeur ajoute une bibliothèque que vous ne connaissez pas.

Surveillez les rejets, pas seulement les erreurs. Un pic de fichiers refusés ou de traitements d’image qui échouent est un signal. Encore faut-il que quelqu’un le voie passer.

Cloisonnez les connecteurs. Un compte de salarié qui ouvre à la fois ChatGPT, GitHub, Slack et la messagerie transforme une prise de compte en prise de tout. La question des droits accordés aux assistants se pose avant l’installation : nous l’avons traitée dans Quels droits donner à un agent IA dans votre entreprise ?.

Un dernier chiffre, pour la route : OpenAI a corrigé sa part en quatorze heures, Discourse en trois jours, Debian 13 le 8 août. Si votre organisation devait recevoir demain un signalement de ce type, combien de temps mettriez-vous ? La réponse honnête à cette question vaut plus qu’un audit.

Sources

• Hacktron AI, « Hacking OpenAI », 18 septembre 2026 — compte rendu technique des chercheurs, chronologie, rôle des modèles.
• TechCrunch, 18 septembre 2026 — réaction d’OpenAI, coût de l’abonnement.
• The Hacker News, 19 septembre 2026 — périmètre du programme de primes, date de versement, identifiant CVE.