Claude d'Anthropic a autrefois contourné OpenAI

Dans un développement qui souligne l’évolution du paysage de la sécurité de l’intelligence artificielle, des chercheurs indépendants ont utilisé Claude d’Anthropic pour compromettre OpenAI, révélant des vulnérabilités dans les défenses du développeur de ChatGPT, comme l’a rapporté le Wall Street Journal jeudi.

Une équipe de trois membres de Hacktron AI a exécuté cette exploitation dans le cadre du programme de primes pour les bogues d’OpenAI. Après avoir signalé leurs découvertes, la startup a reçu une récompense de 6 500 $. En enchaînant deux vulnérabilités critiques, l’équipe a obtenu l’accès à plusieurs comptes ChatGPT d’employés d’OpenAI, pénétrant ainsi l’infrastructure logicielle interne de l’entreprise.

OpenAI indique que les vulnérabilités identifiées par Hacktron ont été corrigées, une mesure qui coïncide avec une surveillance accrue des grandes entreprises d’IA concernant leurs protocoles de sécurité.

Cet événement fait suite à des incidents récents où les propres agents d’IA d’OpenAI ont rompu leur confinement lors d’évaluations de cybersécurité et ont piraté Hugging Face, mettant en lumière l’autonomie croissante des modèles d’IA. Cela démontre également comment les technologies commerciales standard peuvent être utilisées pour identifier les faiblesses des infrastructures corporatives les plus avancées.

« Pour seulement 200 dollars par mois, n’importe qui peut utiliser ces outils pour pirater une entreprise comme OpenAI », a déclaré Matt Fredrikson, PDG de l’entreprise de sécurité AI Gray Swan, à TechCrunch. « Si cela peut leur arriver – et je ne crois pas qu’ils aient été négligents dans leur hygiène de cybersécurité récemment – cela peut arriver à n’importe qui. »

Comme l’a noté un commentateur de l’IA sur les réseaux sociaux : « [Hacktron] a utilisé Opus 5 pour exécuter le piratage… La question urgente est : si ces trois individus peuvent y parvenir, que pourrait être capable de faire un État-nation. »

Les chercheurs ont identifié un point d’entrée dans OpenAI le 25 juillet grâce à une faille dans Discourse, le logiciel tiers alimentant le forum communautaire d’OpenAI.

Selon un article de blog des chercheurs, le vecteur initial était un téléchargement d’image routinier. Lorsque les utilisateurs soumettaient des fichiers image HEIF ou HEIC (le format par défaut des iPhones) au forum, Discourse les traitait via une série d’outils backend pour les convertir en JPEG standard. La première étape impliquait ImageMagick, un utilitaire open-source de longue date pour le redimensionnement d’images. Puisque la boîte à outils standard d’ImageMagick ne peut pas gérer le format d’Apple, elle déléguait la tâche de décodage à une autre bibliothèque, libheif.

Caché dans libheif se trouvait une erreur de mémoire qui permettait à un attaquant d’injecter des instructions malveillantes. En alimentant la bibliothèque avec une image spécialement conçue, les chercheurs l’ont amenée à calculer incorrectement le positionnement d’une image par rapport à une autre, ce qui leur a finalement permis de détourner le serveur.

Ce qui peut inquiéter la communauté de la cybersécurité, c’est que ce bug avait été corrigé par les développeurs de libheif plusieurs mois plus tôt. Cependant, la correction n’a jamais été formellement désignée comme une vulnérabilité, ce qui signifie qu’elle n’a pas reçu de numéro CVE (Common Vulnerabilities and Exposures), la norme de l’industrie pour le suivi des failles de sécurité connues. Hacktron suggère que cet oubli peut expliquer pourquoi Discourse utilisait encore la version vulnérable du logiciel.

Il est notable que les chercheurs ont signalé que le modèle Claude qu’ils utilisaient – une version spécialisée d’Opus 4.8 fournie aux chercheurs en cybersécurité – a initialement échoué à générer une exploitation fonctionnelle. Cela a changé du jour au lendemain suite à la sortie d’Opus 5 par Anthropic.

« Opus 4.8 a eu des difficultés sur plusieurs sessions à produire une exploitation fonctionnelle », a écrit Hacktron dans un article de blog. « Quelques heures après la sortie d’Opus 5, nous lui avons soumis le même problème et il a réussi. »

Une fois à l’intérieur du serveur Discourse, les chercheurs ont découvert une autre faille qui leur a permis de prendre le contrôle des comptes ChatGPT et Codex des utilisateurs, y compris ceux appartenant à des employés d’OpenAI.

« Nous avons ensuite pris le contrôle du compte d’un employé d’OpenAI, dont le Codex était connecté à l’organisation Github d’OpenAI », a écrit Hacktron dans son résumé de l’incident.

À ce stade, les chercheurs ont notifié à la fois OpenAI et Discourse, ce dernier ayant émis une correction le 27 juillet.

Cet incident met en lumière les limites des capacités des modèles. Claude Opus 5, la version qui a exploité avec succès le bug, n’a pas fait l’objet de restrictions à l’exportation de sécurité, contrairement au nouveau Mythos 5, qui a été temporairement restreint en raison de préoccupations concernant son potentiel de piratage avancé.

Il ne s’agit que de modèles fermés. Les modèles à poids ouverts réduisent de plus en plus l’écart en capacités cybernétiques avec les modèles de pointe. Par exemple, l’organisation à but non lucratif SaferAI en matière de sécurité de l’IA a récemment découvert que le GLM-5.2 de l’entreprise chinoise Z.ai n’était qu’à quelques mois derrière le GPT-5.5 d’OpenAI et le Claude Opus 4.7 d’Anthropic en termes de capacités cybernétiques.

Comme l’a déclaré le fondateur de Hacktron, Mohan Pedhapati, sur X : « L’IA réduit la quantité d’expertise rare nécessaire pour développer des exploitations. Un travail qui prenait autrefois des mois peut désormais être accompli en quelques jours. »