Claude Opus 5 a permis à des chercheurs en sécurité de transformer une faille difficile à exploiter en un accès à des comptes d'employés d'OpenAI. L'équipe de la société Hacktron a enchaîné deux failles : l'une dans un composant de traitement d'images derrière le forum public d'OpenAI, l'autre dans le système de connexion commun avec des outils internes. L'histoire a été rapportée le 18 septembre 2026 par TechCrunch et The Register, puis par The Hacker News.
Il s'agit d'une recherche menée dans le cadre d'un programme de bug bounty, avec divulgation responsable, et non d'une attaque réelle. Cet article résume les faits, précise ce qui reste incertain et détaille les mesures de défense utiles, sans reprendre aucun détail d'exploitation.
Ce qui s'est passé
Trois chercheurs de Hacktron (Harsh Jaiswal, Mohan Pedhapati et Rahul Maini, selon The Register) ont découvert les failles le 25 juillet 2026 et sont arrivés à un accès interne en moins de 72 heures.
La chaîne d'attaque, décrite ici de façon volontairement générale, se déroule en deux temps :
- Le forum communautaire d'OpenAI, reposant sur le logiciel Discourse, traitait des images au format HEIF/HEIC. Un envoi d'image spécialement conçu traversait des outils de conversion jusqu'à une bibliothèque de décodage, libheif, où une faille mémoire pouvait mener à la compromission du serveur.
- Le système d'authentification « Sign in with OpenAI », partagé entre le forum public et des outils internes, a ensuite permis de prendre le contrôle de comptes d'employés ChatGPT et Codex.
L'équipe a ainsi pu atteindre un compte dont Codex était connecté au dépôt de code interne d'OpenAI sur GitHub. Pour prouver l'impact sans accéder au code, elle a proposé une demande de fusion (pull request) inoffensive, puis s'est arrêtée. Selon The Hacker News, les chercheurs n'ont ni consulté le code source ni fusionné ou déployé quoi que ce soit.
Quel a été le rôle de Claude Opus 5 ?
C'est le point qui fait la une. Hacktron explique que le modèle précédent, Claude Opus 4.8, avait peiné pendant plusieurs sessions à produire un exploit fonctionnel pour la configuration visée. Selon leur billet, cité par la presse : quelques heures après la sortie d'Opus 5, ils lui ont soumis le même problème et il y est parvenu.
Deux nuances importantes ressortent des comptes rendus :
- Les garde-fous ont été contournés par mise en scène. Les chercheurs ont présenté la tâche comme un exercice de type capture the flag sur leur propre serveur de test.
- L'humain restait indispensable. The Hacker News précise que l'exploitation a nécessité « une direction humaine compétente » et n'était pas entièrement automatisée.
À retenir : l'IA n'a pas trouvé seule un accès à OpenAI. Elle a réduit le temps nécessaire pour écrire un exploit fiable, ce qui change l'équation pour les défenseurs, car une faille « difficile à exploiter » l'est moins qu'avant.
Confirmé, contesté, inconnu
| Élément | Statut |
|---|---|
| Recherche de Hacktron avec Claude Opus 5 | Rapporté par plusieurs médias, à partir du billet des chercheurs |
| Faille dans libheif (CVE-2026-32882) | Citée par The Hacker News, avec un score CVSS de 8,8 |
| Faille d'authentification côté OpenAI | Confirmée corrigée, mais non détaillée publiquement |
| Correctif d'OpenAI | Environ 14 heures après le signalement |
| Prime de bug bounty | 6 500 dollars selon The Hacker News et TechCrunch, 5 500 dollars selon The Register |
| Découvertes similaires chez d'autres entreprises (Slack, Meta, GitHub Enterprise, Next.js) | Affirmées par Hacktron, non confirmées de façon indépendante |
| Audit rétrospectif d'OpenAI et éventuelle exposition de données | Non précisé |
Deux remarques : les articles divergent sur le montant de la prime, et OpenAI a indiqué qu'elle récompensait les découvertes côté OpenAI, pas les actions menées contre Discourse. Ni Anthropic ni OpenAI n'ont répondu aux sollicitations du Register.
Correctifs et versions concernées
D'après The Hacker News, la faille de libheif était corrigée depuis la version 1.22.0 (mai 2026), bien avant les tests, et Discourse a publié des versions corrigées (2026.7.0, 2026.6.1, 2026.5.2 et 2026.1.6). Les sites hébergés par Discourse étaient déjà corrigés, mais les installations auto-hébergées devaient être reconstruites avec une version à jour. La même source recommande de passer à libheif 1.23.4 ou à une version corrigée. Vérifiez ces informations dans les avis officiels avant d'agir.
Côté Discourse, The Register mentionne l'avis GHSA-vhm9-85gw-x335, accompagné d'un renforcement du cloisonnement du traitement d'images.
Ce que cela change pour les équipes sécurité
Cette affaire ne relève pas d'une faille « magique ». Elle illustre cinq problèmes bien connus, aggravés par l'IA.
1. Les composants tiers, maillon faible
Le point d'entrée n'était pas un produit d'OpenAI, mais une chaîne de composants open source. Tenez un inventaire des bibliothèques de traitement d'images, de documents et de médias, et surveillez leurs avis de sécurité. Notre base de données CVE aide à suivre les vulnérabilités connues.
2. Le traitement de fichiers non fiables
Décoder des images envoyées par des inconnus est une opération à risque. Pratiques recommandées :
- désactiver les formats rarement utilisés (comme HEIF/AVIF) quand ils ne sont pas nécessaires ;
- traiter les fichiers dans un environnement cloisonné (bac à sable, conteneur sans privilèges, sans accès réseau interne) ;
- limiter les tailles et les types de fichiers acceptés.
3. L'authentification unique (SSO) et son rayon d'action
Un forum public et des outils internes qui partagent la même connexion étendent la surface d'attaque : une compromission côté public peut ouvrir l'accès interne. Limitez les services approuvés par SSO, séparez les identités publiques et internes, et exigez une nouvelle vérification d'identité pour les actions sensibles.
4. Les comptes connectés à des agents de code
Un compte d'assistant de programmation lié à un dépôt interne est un accès privilégié. Appliquez le principe du moindre privilège, des permissions limitées et une validation humaine avant toute fusion de code.
5. La priorisation des vulnérabilités
Un score CVSS élevé ne dit pas tout : l'exposition réelle et la facilité d'exploitation comptent. Si l'IA rend l'exploitation plus rapide, les délais de correctif doivent raccourcir pour les composants exposés à Internet. Lisez notre guide pour comprendre le score CVSS et essayez le calculateur CVSS.
Une leçon pour les modèles d'IA aussi
L'épisode relance le débat sur les garde-fous des modèles : présenter une requête comme un exercice de CTF suffit-il à obtenir un exploit ? Le sujet dépasse cet article, et les éditeurs concernés n'ont pas encore commenté en détail les implications plus larges. Ce que l'on peut retenir dès maintenant : la défense doit supposer que les attaquants disposent, eux aussi, d'outils qui accélèrent l'écriture d'exploits.
Points clés
- Des chercheurs de Hacktron ont utilisé Claude Opus 5 pour exploiter une faille dans le traitement d'images du forum d'OpenAI, puis une faille d'authentification, afin d'atteindre des comptes d'employés.
- Le modèle précédent (Opus 4.8) n'y était pas parvenu ; Opus 5 y a réussi en quelques heures, avec une direction humaine compétente.
- OpenAI a corrigé en environ 14 heures ; les articles divergent sur la prime (6 500 ou 5 500 dollars).
- Les leçons sont classiques : composants tiers, fichiers non fiables, SSO, comptes d'agents de code, rapidité des correctifs.
- Certains éléments restent inconnus, notamment le détail de la faille d'authentification et l'existence d'un audit rétrospectif.