Des chercheurs ont utilisé Claude pour pirater les systèmes internes d’OpenAI dans une chaîne de bug bounty

Le 25 juillet 2026, une équipe de trois personnes de l'entreprise de sécurité Hacktron AI a utilisé Claude Opus 5 d'Anthropic pour chaîner deux failles et prendre le contrôle de comptes ChatGPT et Codex appartenant à des employés d'OpenAI, puis a utilisé l'un de ces comptes pour ouvrir une pull request dans le dépôt de code interne d'OpenAI. Le point d'entrée n'était pas une page de connexion ni une clé API : il s'agissait d'un téléversement d'image sur le forum d'aide public d'OpenAI, community.openai.com, qui fonctionne avec le logiciel de forum open source Discourse. La seconde faille se trouvait dans le système de connexion unique partagé d'OpenAI lui-même, et non dans le forum. Aucun code source n'a été lu, rien n'a été fusionné, aucune donnée client n'a été touchée, et l'archive ne consigne aucun préjudice réel — il s'agissait de recherche en sécurité signalée au fournisseur, et non d'une attaque contre lui. La fiche est datée du 18 septembre 2026, jour où TechCrunch a rapporté la découverte. Cet incident figure aux côtés des autres entrées documentées de l'archive des incidents Orca AI, où chaque fiche comporte ses propres sources, son niveau de gravité, sa note de confiance et son indicateur de contestation.

Deux éléments font de l'affaire plus qu'une histoire pittoresque de bug bounty. Le premier est la vitesse : Hacktron affirme que tout le parcours, depuis le premier coup d'œil au forum jusqu'à l'obtention d'un accès au dépôt interne, a pris moins de 72 heures, et que le modèle avec lequel il a commencé ne pouvait pas faire le travail. Le second est une divergence que les chiffres mis en avant dissimulent — la CVE citée par les articles, CVE-2026-32882, est enregistrée comme une lecture hors limites qui fait planter des logiciels ou provoque des fuites de mémoire, et non comme une vulnérabilité d'exécution de code. L'avis de sécurité de Discourse classe quant à lui le résultat comme une exécution de code à distance. Les deux sont vrais, et c'est dans l'écart entre eux que réside réellement la contribution de l'IA.

Ce que Hacktron dit avoir trouvé, et quand

Hacktron a publié son compte rendu « Hacking OpenAI » sur son propre site le 13 septembre 2026. The Wall Street Journal en a fait état dans la soirée du jeudi 17 septembre, selon TechCrunch, qui a suivi le vendredi 18 septembre. Les événements décrits se sont produits environ huit semaines plus tôt, et la chronologie de Hacktron est précise à leur sujet :

• 23 juillet 2026 — l'équipe remonte le fil du chemin de téléversement HEIF de Discourse via ImageMagick jusqu'à libheif et découvre le débordement de tas.

• 24 juillet 2026 — {{1}}Claude Opus 4.8{{/1}} produit un exploit fonctionnel d'exécution de code avec l'ASLR, la défense standard par randomisation d'adresses, désactivée.

• 25 juillet 2026, 06:00 UTC — à l’aide d’un modèle plus récent, l’équipe confirme une exécution locale de code fiable via le téléversement d’une image avec l’ASLR activée.

• 25 juillet 2026, 08 h 00–10 h 00 UTC — l'équipe soumet un rapport via le programme de bug bounty d'OpenAI sur Bugcrowd.

• 25 juillet 2026, 10:00 UTC — l'exploit fonctionne contre l'instance Discourse Cloud de l'équipe elle-même, puis contre le forum d'OpenAI.

• 25 juillet 2026, 13:30–15:30 UTC — l'équipe utilise le compte Codex d'un employé d'OpenAI pour ouvrir une pull request inoffensive dans le monorepo interne d'OpenAI, puis arrête les tests.

• 25 juillet 2026, 22:49:45 UTC — OpenAI répond en confirmant que le problème est résolu, environ 14 heures après la soumission initiale.

• 28 juillet 2026 — Discourse publie l'avis GHSA-vhm9-85gw-x335 accompagné de recommandations sur le correctif et la reconstruction.

• 1er septembre 2026 — OpenAI verse une prime de 6 500 $ et marque le rapport comme résolu.

Les dates ci-dessus sont celles de Hacktron, pas une reconstruction. La date de publication du 13 septembre sur son propre billet, l’article du Wall Street Journal du 17 septembre et le reportage de TechCrunch du 18 septembre constituent une séquence distincte et ultérieure : le travail a eu lieu en juillet, le compte rendu est paru à la mi-septembre.

Comment le téléversement d'une image a conduit à la compromission d'un serveur

La chaîne commence par une fonctionnalité banale. Discourse vérifie normalement les images téléversées avec une bibliothèque appelée FastImage, mais FastImage ne prend pas en charge le HEIF, le format de conteneur utilisé par les appareils Apple pour les photos. Ces fichiers étaient donc transmis à l’outil en ligne de commande d’ImageMagick pour conversion, qui les confiait à libheif pour décodage. Cela plaçait un analyseur directement face à des fichiers contrôlés par l’attaquant — exactement le schéma auquel pense la bande dessinée sur les dépendances de xkcd, que Hacktron cite dans ses références.

Hacktron a découvert que le paquet libheif installé dans l’image Docker de Discourse ne contenait pas les correctifs de sécurité. L’image de Discourse était construite sur Debian 12, qui installait libheif 1.19.7 ; Debian 13 fournissait encore 1.19.8 à l’époque. Le bug lui-même se trouve dans HeifPixelImage::overlay(), qui compose une image de superposition sur une image de base. Selon l’avis de libheif lui-même, lorsqu’une image enfant de superposition a une profondeur de bits différente pour son canal alpha que pour ses canaux de couleur, la fonction indexe le plan alpha en utilisant le pas du canal de couleur au lieu de celui du plan alpha. Avec une image de 100 par 50 en couleur 10 bits et alpha 8 bits, l’avis calcule que le code lit 3 123 octets au-delà de la fin d’un tampon de 7 168 octets.

Cela donne à un attaquant de la mémoire tas divulguée, ce qui est utile pour contourner la randomisation d’adresses — mais pas, à soi seul, un shell. Passer de la fuite à l’exécution est la partie qui a nécessité un modèle, et c’est la partie que la CVE ne décrit pas. La chaîne franchissait ensuite une frontière de confiance que Hacktron considère comme la véritable histoire : le forum d’OpenAI propose « Se connecter avec OpenAI » via auth.openai.com, le même mécanisme d’authentification unique que le personnel utilise ailleurs. Le contrôle du serveur du forum signifiait que les chercheurs pouvaient prendre le contrôle des comptes ChatGPT et Codex des membres du forum qui travaillaient chez OpenAI, sans aucune interaction des victimes. Comme le dit Hacktron, « la vulnérabilité permettant l’escalade n’est pas spécifique à Discourse », et tout service OpenAI interne ou tiers utilisant cette connexion aurait accordé le même accès.

Établi, et déduit

L’archive attribue à ce dossier une confiance A, un statut non contesté, une gravité élevée et aucun préjudice réel consigné. Ces champs tiennent. Mais le compte rendu est celui d’une seule équipe de recherche, corroboré plutôt que reconstruit indépendamment, et il vaut la peine de distinguer ce qui est documenté de ce qui est affirmé.

Établi à partir de sources primaires. CVE-2026-32882 existe, a été publiée le 19 mai 2026, affecte libheif 1.21.2 et les versions antérieures, et a été corrigée dans libheif 1.22.0. La fiche MITRE lui attribue un score de 7,1, avec un vecteur d'attaque réseau, une faible complexité, aucun privilège requis, une interaction utilisateur requise, et des impacts de faible confidentialité et de haute disponibilité — un plantage ou une fuite de mémoire. L'avis de Discourse GHSA-vhm9-85gw-x335, publié le 28 juillet 2026 et attribué à hacktronai-research, suit la même CVE et évalue le résultat comme élevé (High) à 8,8, avec de faibles privilèges requis, aucune interaction utilisateur, et un impact élevé sur les trois critères de confidentialité, d'intégrité et de disponibilité. Il liste les versions corrigées 2026.7.0, 2026.6.1, 2026.5.2 et 2026.1.6, et indique que la dernière image Docker inclut la version corrigée de libheif.

Établi par deux médias indépendants. Que les chercheurs aient utilisé Claude pour trouver et exploiter la chaîne, qu’une compromission du forum ait conduit à l’accès au compte d’un employé, qu’OpenAI l’ait corrigé en environ 14 heures et ait payé 6 500 $, que la preuve d’accès ait été une seule pull request, et qu’OpenAI affirme que tester le forum lui-même sortait du périmètre de son programme de primes — tout cela figure dans The Hacker News et TechCrunch, qui citent tous deux directement le rapport de Hacktron.

Affirmé par Hacktron, sans vérification indépendante.Le fait que l'exécution de code sur le forum ait été obtenue, ne serait-ce que de la manière décrite — au moyen d'une boucle d'agent autonome et d'une instance de test derrière un proxy — repose sur le récit de Hacktron et n'a pas été reproduit par un tiers ; The Hacker News indique avoir contacté Hacktron pour l'interroger sur la manière dont l'exécution de code sur le forum a été obtenue et sur l'étendue de l'accès au compte, et ne rapporte pas avoir reçu de réponses. L'affirmation selon laquelle la même classe de faille a touché Slack, Meta, GitHub Enterprise et des frameworks web est, selon l'évaluation de The Hacker News elle-même, « étayée de manière inégale » : une faille Next.js est confirmée dans l'avis de Vercel et les mainteneurs de libheif ont confirmé un exploit fonctionnel pour le bug associé à Meta, mais l'affirmation plus large d'une exécution de code à travers de nombreuses applications n'a pas été confirmée indépendamment. OpenAI n'a pas du tout publié de description technique de la faille de connexion ; elle a confirmé la découverte par le correctif et le paiement plutôt qu'en documentant les prises de contrôle de comptes.

Pas du tout établi. Combien de comptes d’employés étaient accessibles — The Hacker News dit « plusieurs », TechCrunch dit « multiples », et Hacktron ne donne aucun nombre. Quant à savoir si la faille a été utilisée par quelqu’un d’autre : The Hacker News ne rapporte aucun signe d’utilisation dans le monde réel et note que la CVE ne figurait pas sur la liste du gouvernement américain des vulnérabilités connues comme exploitées à la mi-septembre 2026, tout en avertissant que cette liste ne constitue pas une preuve dans un sens ou dans l’autre. Et si les organisations qui avaient déjà appliqué le correctif devraient encore rechercher un accès antérieur — The Hacker News dit que les sources sont muettes sur ce point.

Ce que les modèles ont fait, et ce que les humains ont fait

Le saut de capacités est la partie que Hacktron met lui-même en avant, et elle est documentée dans ses propres termes plutôt que déduite. L’équipe a d’abord utilisé Claude Opus 4.8, dans une version mise à disposition des chercheurs en cybersécurité, pour inspecter le paquet libheif installé et construire un exploit avec ASLR désactivé. Avec ASLR activé, il est resté bloqué pendant plusieurs sessions. Anthropic a publié Claude Opus 5 le soir du 24 juillet 2026 ; dans une nouvelle session, le nouveau modèle a produit un exploit ARM64 fonctionnel pour un Mac local en environ trois heures, et dès 06 h 00 le lendemain matin, il avait été porté vers la configuration x86-64 utilisée par Discourse.

Claude Opus 5 a également été livré avec des garde-fous contre l’écriture de code d’exploitation pour de vraies cibles. Hacktron affirme les avoir contournés en pointant le modèle vers sa propre instance Discourse Cloud, relayée via un hôte nommé rce.ee/ctf-forum afin que la cible ressemble à un exercice de capture du drapeau, et en l’exécutant dans une boucle d’objectifs autonome. L’équipe précise explicitement qu’il ne s’agissait pas de piratage sans supervision : « l’accompagnement par des humains qualifiés est resté important », écrit-elle, tandis que la quantité de travail qu’une petite équipe pouvait accomplir a augmenté de façon spectaculaire. Dans la campagne plus large HEIF Heist, Hacktron affirme avoir utilisé GPT-5.6 Sol d’OpenAI pour les cas où elle ne connaissait rien de la cible à l’avance.

L’argument économique est celui que Hacktron veut que le lecteur retienne. Dans l’ensemble de la campagne — qui trace la même catégorie de faille à travers Slack, Meta, GitHub Enterprise, Ruby on Rails et les frameworks Next.js, Astro et Gatsby — elle affirme que deux mois de travail de trois chercheurs ont coûté moins de 3 000 dollars en tokens, chaque nouvelle cible nécessitant un ou deux jours d’adaptation. Elle affirme également ne pas avoir connaissance d’une entreprise ayant détecté l’activité, à l’exception de Shopify, malgré des milliers d’images de test envoyées et des processeurs d’images qui ont planté à répétition.

Qu’est-ce qui a changé par la suite ?

Discourse a reçu le rapport un samedi, a répondu le dimanche, disposait d’un correctif le lundi et a publié son avis le 28 juillet, en ajoutant l’isolation du traitement d’images comme défense en profondeur. Son avis avertit les auto-hébergeurs qu’une mise à jour de l’interface web seule peut ne pas remplacer la bibliothèque sous-jacente et qu’une reconstruction complète depuis /var/discourse est nécessaire. Debian a publié une mise à jour de sécurité pour la libheif de Debian 13 le 8 août 2026, répertoriée sous DSA-6417-1. En amont, Hacktron renvoie les lecteurs vers libheif 1.23.4 comme dernière version de sécurité au 14 septembre 2026, et fait remarquer que les paquets de distribution peuvent contenir des correctifs rétroportés sous un numéro de version plus ancien, de sorte qu’il faut vérifier l’avis du paquet ainsi que la version amont.

Pour OpenAI, le correctif a été déployé environ 14 heures après le signalement du 25 juillet, et la prime a été versée le 1er septembre. L’entreprise a joint une précision de périmètre au paiement : les tests contre community.openai.com, hébergé par Discourse, étaient explicitement exclus de son programme de primes de bogues, et la récompense reconnaît la découverte côté OpenAI plutôt que les actions menées contre Discourse. Cela mérite une lecture attentive. Les 6 500 $ rémunèrent la découverte liée à l’authentification, et non la chaîne du forum ; et le travail sur le forum qui a rendu cette chaîne possible était, de l’aveu même d’OpenAI, hors périmètre.

Pourquoi la CVE ne correspond pas au titre

La couverture de ce cas tend à compresser deux évaluations de gravité différentes en une seule. L'avis libheif et la CVE décrivent une lecture hors limites avec un impact sur la confidentialité évalué comme faible et un impact sur la disponibilité évalué comme élevé : plantage ou fuite de mémoire. L'avis Discourse décrit ce qui s'est produit lorsque cette lecture a été combinée à un travail d'exploitation et à une seconde faille, et lui attribue une note de 8,8 avec un impact complet sur les trois catégories. Ni l'un ni l'autre n'est faux ; ils répondent à des questions différentes. La CVE répond à la question « quelle est la gravité du bug de la bibliothèque ? » et l'avis du forum répond à la question « quelle est la gravité du problème du forum ? »

Conséquence pratique : un lecteur qui parcourt les flux CVE à la recherche d’une faille critique d’exécution de code à distance dans libheif n’en trouvera pas ici, et pourrait raisonnablement conclure qu’il n’est pas concerné. Les recommandations de Hacktron vont à l’opposé : tout service qui accepte des images HEIC, HEIF ou AVIF fournies par l’utilisateur et les décode via une version non corrigée de libheif doit être considéré comme exposé, et le seul numéro de version ne constitue pas une vérification suffisante, car des correctifs rétroportés sont livrés sous des chaînes de version obsolètes. Les trois mesures d’atténuation qu’il recommande sont les suivantes : mettre à jour libheif et libde265 via le canal de sécurité de la distribution ou une version amont actuelle ; désactiver le décodage des HEIF et AVIF non fiables lorsqu’il n’est pas nécessaire, ou isoler le traitement des images dans un bac à sable éphémère ; et — celle qui s’applique au-delà des bibliothèques d’images — limiter les services auxquels une authentification unique fait confiance et exiger une nouvelle vérification d’identité avant les actions sensibles plutôt que de faire confiance à une session existante.

Ce dernier point est le constat transposable. Le forum n’était pas la vulnérabilité ; c’était la porte d’entrée. Un service public à moindre confiance partageant un fournisseur d’identité avec les outils internes signifiait que compromettre le maillon le plus faible de l’environnement donnait accès au plus fort. Rien dans le récit de Hacktron ne suggère qu’OpenAI ait fait preuve de négligence concernant le forum lui-même — Discourse, de l’avis même de l’équipe, « n’est en réalité pas une cible facile » — et c’est précisément pourquoi ce cas est cité : la frontière de confiance, et non le bug, est ce qui a cédé.