Hacktron AI utilise Claude Opus 5 pour exploiter la vulnérabilité de sécurité d'OpenAI

OpenAI, piraté par le modèle Claude !

Une équipe de sécurité de seulement trois personnes a réussi, en moins de 72 heures, à compromettre le compte ChatGPT d’un employé d’OpenAI grâce à Claude, obtenant ainsi l’accès aux dépôts de code privés internes d’OpenAI.

Et ce qu'ils ont dépensé, c'est simplement un abonnement Opus 5 de quelques dizaines de dollars.

C'est encore une affaire de faille système épique.

Cet événement est d'une noirceur humoristique incroyable.

Il y a peu, une équipe de sécurité startup nommée Hacktron AI a participé au programme de récompenses pour vulnérabilités d'OpenAI.

L'arme ultime qu'ils utilisent est Opus 5, le dernier produit publié par Anthropic.

Personne n'aurait imaginé que le succès serait aussi facile.

Cette équipe de trois personnes a réussi à prendre le contrôle des comptes ChatGPT et Codex d'un employé interne d'OpenAI en utilisant Opus 5 sans aucune protection !

Ensuite, ils sont entrés avec assurance dans la zone la plus secrète d'OpenAI — le dépôt monolithique interne contenant les algorithmes principaux et le code propriétaire.

Pour prouver qu'ils étaient passés par là, l'équipe a fait quelque chose de provocateur.

Ils ont soumis un PR inoffensif dans le dépôt de code interne en utilisant le compte Codex d'un employé d'OpenAI.

Après avoir reçu le rapport, l'équipe de sécurité d'OpenAI a transpiré de froid et a corrigé d'urgence cette vulnérabilité en 14 heures, en versant une récompense de 6 500 dollars à l'équipe de trois personnes.

Dès la diffusion du message, l'industrie a été choquée : « Incroyable ! Le quartier général d'OpenAI vient d'être démantelé par un concurrent ! »

Quelqu’un a posé une question existentielle : « Si trois personnes ordinaires plus un abonnement à Claude peuvent en arriver là, que pourraient faire les hackers nationaux avec l’IA ? »

Cette guerre éclair de moins de 72 heures a été menée par une équipe dont la chaîne d'attaque était pleine d'art.

Ils n'ont pas recours à la force brute, mais, comme les chasseurs les plus patients, ils ont progressé pas à pas depuis un coin marginal et apparemment insignifiant jusqu'au cœur.

La chaîne d'attaque entière peut être décomposée en 9 étapes mortelles.

Rechercher le talon d'Achille (forum de la communauté)

Les défenses de sécurité d'OpenAI sont inébranlables ; une attaque directe contre les serveurs principaux est presque impossible.

Mais l'équipe Hacktron a découvert une faille : le forum communautaire utilisé par OpenAI pour les échanges avec les utilisateurs (community.openai.com).

Ce forum est construit sur le logiciel open source Discourse et permet la connexion unique via le compte OpenAI (SSO).

Bombe à retardement cachée dans l'ombre (vulnérabilité libheif)

En analysant la fonction de téléchargement d'images du forum, ils ont découvert un défaut extrêmement rare mais mortel.

Généralement, le forum utilise FastImage pour vérifier les images, mais il ne prend pas en charge le format HEIF/HEIC couramment utilisé par Apple. Le système transfère donc ces images à ImageMagick, qui appelle le décodeur d’images libheif sous-jacent.

Ce qui est critique, c’est que le système basé sur l’image Debian 12 utilise une version de libheif (1.19.7) contenant une vulnérabilité de débordement de tampon d’empilement.

Contourner les protections de l'IA, forger une arme légendaire

L'équipe Hacktron n'a pas écrit elle-même le code d'exploitation, mais a utilisé Claude Opus 5.

Pour contourner la barrière de sécurité d'Opus 5 qui refuse d'écrire du code d'attaque pour des cibles réelles, ils ont utilisé une astuce : ils ont fait passer leur serveur de test pour un domaine cible d'un CTF (Capture The Flag) (rce.ee/ctf-forum).

Opus 5, qui croyait jouer à un jeu, a commencé à tout donner.

Téléchargez une « image toxique » pour prendre le contrôle (RCE)

Ils ont téléchargé sur le forum une image HEIF malveillante soigneusement conçue. Dès que l'image a été analysée en arrière-plan, une vulnérabilité de débordement a été déclenchée, permettant à l'équipe Hacktron d'obtenir l'exécution de code à distance dans l'environnement du forum de la communauté OpenAI.

Défaut d'authentification critique (SSO)

Le piratage du forum n'est qu'une première étape. En raison d'une faille de configuration d'authentification dans le SSO d'OpenAI, les jetons d'identité de tout utilisateur ayant déjà connecté son compte sur ce forum pourraient avoir été volés.

Compromettre les comptes internes d'employés de ChatGPT/Codex

Grâce à cette vulnérabilité SSO, l'équipe a réussi à prendre le contrôle des comptes ChatGPT et Codex de plusieurs employés d'OpenAI.

Suivez la piste jusqu’à la cible principale

Les employés d'OpenAI lient généralement Codex en profondeur à des outils internes de bureau et de développement tels que GitHub, Slack et Outlook.

Accéder au dépôt de code interne

En utilisant un compte employé compromis, l'équipe Hacktron a accédé directement au dépôt principal d'OpenAI.

Laissez une trace, cachez vos exploits

Soumettez le PR #1186742, puis arrêtez tous les tests et soumettez un rapport de vulnérabilité à OpenAI.

D'une simple image HEIC à la bibliothèque interne secrète d'OpenAI, cette trajectoire apparemment incroyable a été ouverte par Opus 5.

Si la vulnérabilité elle-même était suffisamment sophistiquée, la vitesse d'évolution de l'IA démontrée lors de cette attaque a effrayé tous les professionnels de la cybersécurité.

Deux jours avant l'attaque, soit le 23 juillet de cette année, l'équipe Hacktron avait déjà découvert cette vulnérabilité.

À l'époque, ils utilisaient le modèle précédent d'Anthropic, Claude Opus 4.8.

Dans un environnement de défense par défaut avec ASLR activé, Opus 4.8 semble un peu à la peine.

ASLR, soit Address Space Layout Randomization, est un mécanisme de sécurité qui renforce efficacement la protection du système en randomisant les adresses des régions mémoire critiques lors du chargement du processus.

L'équipe a tenté plusieurs sessions, mais Opus 4.8 n'a jamais pu générer un code d'exploitation stable.

Le tournant s'est produit le soir du 24 juillet — Anthropic a officiellement lancé Claude Opus 5.

L'équipe Hacktron, armée de sa nouvelle arme, a immédiatement ouvert une nouvelle session Opus 5.

Un miracle s'est produit : dans les trois premières heures, Opus 5 a réussi à écrire un code d'attaque pour l'architecture ARM64 sur Mac local.

Ensuite, l'équipe a demandé de porter le code à l'environnement x86-64 et à l'allocateur de mémoire jemalloc utilisés par le forum Discourse.

Après seulement une nuit, à 6 heures du matin le 25 juillet, Opus 5 a confirmé la validité de l'exploitation RCE locale via le téléchargement d'images.

À 10 heures du matin, l'agent Opus 5 configuré comme objectif de boucle autonome avait déjà réussi à compromettre l'instance cloud et à lire les fichiers de fond du système.

Les failles que le modèle précédent ne pouvait pas détecter ont été directement décryptées et exploitées de manière automatisée le lendemain de la sortie du nouveau modèle !

Un fait cruel : l'amélioration des capacités des modèles d'IA réduit de manière exponentielle le seuil d'entrée pour les attaques informatiques.

Lors de tests approfondis ultérieurs, l'équipe a même découvert qu'avec le modèle GPT-5.6 Sol mis à jour, l'IA pouvait automatiquement accomplir une série complète d'actions — fuites mémoire, élévation de privilèges, déplacement latéral et contournement des défenses existantes — même dans des conditions extrêmes d'aveuglement, où elle n'avait aucune connaissance du système cible, ne sachant que des vulnérabilités existaient.

Cette capacité n'appartenait autrefois qu'aux meilleurs hackers nationaux.

Vous croyez que seule OpenAI a des ennuis ? Erreur monumentale.

L'équipe Hacktron a nommé cette découverte « le grand hold-up HEIF ».

La gravité de cette vulnérabilité réside dans le fait qu'elle n'est pas propre à OpenAI, mais relève du problème systémique des dépendances open source de l'infrastructure internet.

Nous téléchargeons des images sur Internet chaque jour, et la bibliothèque open source libheif, utilisée pour analyser les images HEIC/HEIF/AVIF, est largement intégrée dans de nombreuses applications nationales.

Ce qui est encore plus incroyable, c’est que la correction du code pour cette vulnérabilité avait déjà été effectuée l’année dernière dans une branche de la communauté open source, mais comme elle n’avait pas été étiquetée comme un correctif de sécurité (aucun CVE n’a été attribué), d’innombrables systèmes d’exploitation et logiciels en aval n’ont tout simplement pas été informés !

Au cours des mois suivants d'enquête, l'équipe Hacktron a utilisé l'IA comme pirate automatisé pour mener une « grande opération » contre les géants d'Internet.

Ils ont découvert : Slack, Zoom, Meta, GitHub… ces géants technologiques bien connus, tant qu’ils acceptent le téléchargement d’images, sont presque tous touchés !

Que ce soit Ruby on Rails, ou des frameworks populaires comme Next.js, Astro, Gatsby dans l'écosystème Node.js, dès lors qu'ils appellent cette bibliothèque, ils peuvent presque être entièrement contrôlés.

Le coût est encore plus incroyablement bas.

L'équipe Hacktron a déclaré que le projet de recherche « Le grand hold-up HEIF » a duré deux mois et a couvert tous les géants mentionnés ci-dessus. Le coût total des tokens de modèle de grande taille qu'ils ont dépensés s'élève à moins de 3 000 dollars !

Pour chaque entreprise technologique différente, l'IA peut adapter en seulement un à deux jours les « images toxiques » en armes d'attaque personnalisées, en fonction de l'environnement de l'entreprise cible.

Après avoir envoyé des dizaines de milliers d'images de test, les processeurs d'images des principales entreprises ont systématiquement planté ; seule Shopify a détecté une anomalie, tandis que tous les autres géants d'Internet n'ont rien remarqué !

C’est un reflet de la vulnérabilité d’Internet moderne : comme le satirise la célèbre bande dessinée xkcd, toute l’infrastructure numérique moderne repose de manière précaire sur une petite bibliothèque open source, pleine de failles, maintenue par un programmeur inconnu.

They then reported the vulnerability to Discourse and OpenAI.

Environ 14 heures après la première soumission du rapport, OpenAI a corrigé le problème de connexion unique (SSO). Discourse a également effectué la correction.

Ce rapport de vulnérabilité, récompensé par une prime de seulement 6 500 dollars (environ 50 000 yuans chinois), marquera un tournant dans l'histoire de la cybersécurité.

Depuis longtemps, l'industrie du logiciel a bénéficié d'un parapluie invisible — la « sécurité par complexité ».

Dans le passé, même si une vulnérabilité dans une bibliothèque de code ouvert était rendue publique et que le code source était directement disponible, les hackers ordinaires ne pouvaient pas l'exploiter.

Pour transformer une vulnérabilité de corruption de mémoire théorique en une « arme » réellement capable de pénétrer un serveur, il faut des compétences extrêmement rares, un investissement temporel considérable et une ingénierie inverse approfondie de l’environnement cible.

Par le passé, ces armes de vulnérabilité de niveau supérieur, appelées 0-Day, avaient un coût de développement extrêmement élevé et n'étaient généralement utilisées que par des unités de hackers nationales pour cibler des objectifs de haute valeur. Les entreprises ordinaires pouvaient bénéficier d'une sécurité grâce à ce seuil de coût d'attaque.

Mais l'IA a déchiré cet parapluie protecteur.

Hacktron a écrit à la fin du rapport :

L'IA élimine cette protection, transformant l'expertise en piratage autrefois rare en une puissance de calcul bon marché. Les attaques qui nécessitaient autrefois à une équipe bien financée plusieurs mois pour être réalisées sont désormais réduites à quelques jours, voire quelques heures seulement.

Aujourd'hui, n'importe quelle équipe de trois personnes maîtrisant un IA avancée sans barrières peut déployer une capacité de pénétration sécuritaire équivalente à celle d'une équipe nationale.

Si votre entreprise compte toujours sur l’idée que « les pirates ignorent notre système » pour se défendre, vous serez peut-être la prochaine à voir votre dépôt de code principal compromis.

Cet article provient du compte officiel WeChat « Nouvelle Intelligence » (ID : AI_era), auteur : ASI Révélation