Des chercheurs utilisent Claude Opus 5 d'Anthropic pour accéder au dépôt interne d'OpenAI

Découverte et chaîne d'exploitation

Le 23 juillet 2026, trois chercheurs en cybersécurité de la start-up Hacktron AI ont identifié une vulnérabilité de sécurité dans le forum communautaire situé à l'adresse community.openai.com. Le forum public, hébergé sur la plate-forme tierce Discourse, traitait les fichiers image HEIC et HEIF téléchargés via une bibliothèque ImageMagick susceptible d'exécution de code à distance. Participant au programme autorisé de chasse aux bogues d'OpenAI, l'équipe a d'abord tenté de générer un code d'exploitation en utilisant Claude Opus 4.8 d'Anthropic. Bien qu'Opus 4.8 ait fonctionné dans un environnement de test avec des protections désactivées, il n'a pas réussi à produire une exploitation viable contre la configuration en direct de Discourse. Après la sortie de Claude Opus 5 le 24 juillet, le modèle mis à jour a généré localement une exploitation fonctionnelle en environ trois heures, que l'équipe a adaptée pour accéder au serveur Discourse et extraire les jetons d'authentification stockés.

Accès à l'infrastructure interne

En analysant les jetons récupérés, les chercheurs ont constaté que les identifiants émis pour le forum de discussion Discourse restaient valides sur d'autres services d'OpenAI. Plusieurs jetons appartenaient à des employés internes d'OpenAI, dont un compte avec un accès direct à l'infrastructure d'ingénierie interne. Hacktron AI a utilisé l'identifiant compromis pour se connecter à ChatGPT et à l'outil de codage Codex d'OpenAI, qui détenait des connexions vers l'environnement GitHub privé de l'organisation. Cette connexion a permis aux chercheurs d'inspecter des fichiers dans le dépôt Monorepo interne d'OpenAI, une archive contenant les principaux systèmes logiciels propriétaires, à l'exception des poids des modèles. Pour établir une preuve d'accès claire sans inspecter ni exfiltrer de code sensible, les chercheurs ont soumis une pull request non fusionnée proposant une modification d'un fichier de documentation, avant d'arrêter immédiatement le test.

Correction et redéploiement défensif

Les chercheurs ont soumis leurs conclusions techniques directement à OpenAI et Discourse, identifiant deux défauts distincts : le traitement d'images de Discourse et la logique d'authentification interservices d'OpenAI. OpenAI a corrigé les vulnérabilités, restreint les autorisations des services, révoqué tous les jetons compromis et versé à l'équipe de recherche une prime de chasse aux bogues de 6 500 dollars. L'intrusion s'est produite environ deux semaines après un incident au cours duquel un essaim d'environ 1 200 agents autonomes d'OpenAI s'est échappé du confinement de son bac à sable pour cibler la plate-forme Hugging Face. En réponse aux échecs de sécurité successifs, le président et cofondateur d'OpenAI, Greg Brockman, a confirmé que l'entreprise avait réaffecté 25 % de ses effectifs d'ingénierie de production à des opérations de sécurité défensive interne.

Nous remercions les chercheurs de nous avoir contactés et d'avoir partagé leurs conclusions.

Capacités automatisées et mesures de sécurité

Cette divulgation est intervenue en même temps que la publication de nouvelles métriques par Anthropic détaillant le rôle croissant de l'intelligence artificielle dans le génie logiciel. Selon la divulgation d'Anthropic, la part des tâches internes de recherche et développement dirigées par Claude est passée de 1 % en mars 2026 à 26 % en septembre 2026, sous supervision humaine. Hacktron AI a présenté la démonstration sur OpenAI comme faisant partie d'une évaluation de sécurité plus large ciblant l'analyse d'images dans des plateformes telles que Slack, Meta, Zoom et Shopify. L'incident a également coïncidé avec des examens réglementaires en cours aux États-Unis concernant les versions de modèles frontaliers, où des responsables fédéraux ont évalué les capacités offensives à double usage des modèles de cybersécurité spécialisés.