Claude Opus 5 a aidé trois chercheurs à atteindre le dépôt privé d’OpenAI en moins de 72 heures

Trois chercheurs en cybersécurité ont réussi à passer d’une vulnérabilité dans le traitement d’images à un accès permettant d’ouvrir une requête de modification dans un dépôt GitHub privé d’OpenAI. Et une partie particulièrement complexe de cette démonstration a été réalisée avec l’aide de Claude Opus 5, le modèle d’Anthropic.

L’opération n’était pas une cyberattaque criminelle. Les chercheurs de Hacktron AI — Harsh Jaiswal, Mohan Pedhapati et Rahul Maini menaient une recherche de sécurité et ont signalé les vulnérabilités découvertes. Selon leur publication technique, moins de 72 heures se sont écoulées entre le début de leurs investigations et la démonstration d’accès au dépôt interne d’OpenAI.

L’incident est surtout intéressant pour une autre raison : Claude Opus 5 aurait réussi en quelques heures une étape d’exploitation mémoire que la génération précédente du modèle n’était pas parvenue à rendre fiable.

À retenir:

• Les chercheurs ont combiné une vulnérabilité dans libheif avec un problème de permissions dans le système SSO d’OpenAI.
• Claude Opus 5 a aidé à produire un exploit fonctionnant malgré la protection mémoire ASLR.
• Un compte Codex appartenant à un employé permettait d’interagir avec le GitHub interne d’OpenAI.
• Les chercheurs affirment ne pas avoir consulté le code propriétaire et avoir utilisé une modification inoffensive comme preuve d’accès.
• OpenAI a corrigé son problème d’identité et versé une prime de 6 500 dollars, selon Hacktron.

Tout commence par une simple image HEIC

Le point d’entrée ne se trouvait pas directement dans ChatGPT, Codex ou un modèle d’OpenAI. Il se situait dans l’infrastructure du forum communautaire de l’entreprise, basé sur Discourse.

Le fait : Hacktron a identifié une vulnérabilité de corruption mémoire affectant libheif, une bibliothèque utilisée pour traiter notamment les formats HEIC et HEIF.

Lorsqu’un fichier de ce type était envoyé au forum, son traitement pouvait atteindre la bibliothèque vulnérable via ImageMagick. Cette faiblesse a ensuite reçu l’identifiant CVE-2026-32882.

Discourse a officiellement confirmé que cette vulnérabilité pouvait permettre une exécution de code à distance lors du téléchargement d’une image spécialement conçue. L’éditeur lui attribue une note CVSS de 8,8 sur 10, soit une sévérité élevée.

Pourquoi c’est important : une fonction apparemment banale — envoyer une image sur un forum — peut devenir un point d’entrée critique lorsqu’elle repose sur plusieurs bibliothèques logicielles imbriquées.

C’est un rappel classique de la sécurité moderne : une application n’est pas uniquement constituée de son propre code. Elle dépend parfois de dizaines de composants qui deviennent eux aussi une partie de sa surface d’attaque.

Claude Opus 5 réussit là où Opus 4.8 bloquait

C’est ici que le rôle de l’intelligence artificielle devient particulièrement intéressant.

Selon Hacktron, les chercheurs ont d’abord demandé à Claude Opus 4.8 de travailler sur l’exploitation de la vulnérabilité. Le modèle est parvenu à produire une démonstration lorsque la protection ASLR était désactivée, mais n’a pas réussi à rendre l’attaque fiable avec cette protection active.

ASLR, ou Address Space Layout Randomization, rend les attaques par corruption mémoire plus difficiles en changeant l’emplacement de certaines données et portions de code en mémoire.

Le 24 juillet 2026, Anthropic a lancé Claude Opus 5. Les chercheurs ont alors soumis le même problème au nouveau modèle.

D’après leur compte rendu, Opus 5 a produit en environ trois heures un exploit fonctionnel dans leur environnement de test ARM64 avec ASLR activé, avant d’aider à l’adapter à l’environnement utilisé par Discourse.

Anthropic présente officiellement Opus 5 comme une amélioration importante par rapport à Opus 4.8, notamment en développement logiciel et en cybersécurité, tout en précisant avoir mis en place des protections particulières autour des usages cyber offensifs.

Pourquoi c’est important : les progrès d’une seule génération de modèles peuvent désormais modifier le coût et le temps nécessaires pour résoudre certaines tâches techniques traditionnellement réservées à des spécialistes.

Cela ne signifie pas qu’une IA peut automatiquement compromettre n’importe quel serveur. Hacktron souligne que l’intervention humaine, l’expertise et les décisions des chercheurs sont restées essentielles.

Une seconde faille ouvre la voie vers les comptes OpenAI

Obtenir une exécution de code sur le forum n’aurait normalement pas dû permettre d’atteindre les services internes d’OpenAI.

Mais les chercheurs disent avoir découvert un second problème, cette fois dans le système d’authentification SSO — Single Sign-On — d’OpenAI.

Le fait : selon Hacktron, les jetons liés à la connexion au forum disposaient de permissions trop larges. Cela créait une possibilité de passer du forum vers des comptes ChatGPT et Codex associés.

L’équipe a finalement accédé à un compte d’employé dont Codex était connecté à l’organisation GitHub d’OpenAI.

Plutôt que de lire ou télécharger du code propriétaire, les chercheurs affirment avoir demandé à Codex de créer une pull request inoffensive dans le dépôt interne openai/openai. Ils ont ensuite arrêté leurs tests.

Ce détail est essentiel : les chercheurs ont démontré ce qu’ils pouvaient atteindre, mais cela ne signifie pas qu’ils ont extrait le code source interne d’OpenAI.

OpenAI corrige le problème le jour même

Hacktron indique avoir soumis son rapport à OpenAI via son programme Bugcrowd le 25 juillet 2026.

Selon la chronologie publiée par l’équipe, OpenAI a confirmé la correction de son problème environ 14 heures après le signalement initial. Les permissions associées au mécanisme concerné ont été réduites et les sessions affectées révoquées.

Le 1er septembre, OpenAI a également versé une récompense de 6 500 dollars.

Un détail mérite cependant d’être précisé : d’après le commentaire d’OpenAI reproduit par Hacktron, cette récompense concernait la vulnérabilité située du côté de l’infrastructure d’identité OpenAI. Les tests effectués directement contre l’instance Discourse ne faisaient pas partie du périmètre officiel du programme de bug bounty.

Discourse a de son côté publié son correctif et son avis de sécurité pour CVE-2026-32882 le 28 juillet.

Pourquoi cette affaire dépasse largement OpenAI

Le résultat le plus important n’est finalement peut-être pas l’accès au dépôt privé d’une grande entreprise technologique.

C’est la compression du temps nécessaire à la recherche d’exploitation.

Hacktron estime que l’ensemble de son projet de recherche HEIF Heist, qui s’est étendu sur plusieurs entreprises et plusieurs mois, a coûté moins de 3 000 dollars en utilisation de modèles d’IA. Ce chiffre concerne la campagne de recherche globale et non uniquement l’opération visant OpenAI.

Autrement dit, il serait trompeur de conclure que « Claude a piraté OpenAI pour 3 000 dollars ». Le travail était dirigé par des chercheurs expérimentés et combinait reconnaissance, analyse logicielle, exploitation mémoire et étude des systèmes d’identité.

Mais l’IA semble avoir considérablement accéléré certaines étapes.

Pour les entreprises, la conséquence est concrète : l’amélioration des modèles d’IA pourrait obliger les équipes de sécurité à revoir plus rapidement leurs hypothèses sur la difficulté d’exploitation d’une vulnérabilité.

Une faille que l’on jugeait autrefois trop complexe ou coûteuse à transformer en attaque fiable pourrait devenir beaucoup plus accessible avec une assistance IA suffisamment performante.

C’est aussi pourquoi les mécanismes de moindre privilège deviennent essentiels. Un compte d’agent IA connecté simultanément à du code source, des outils collaboratifs et différents services internes peut disposer d’une surface d’accès considérable.

Pour suivre les évolutions de Claude, ChatGPT, des agents IA et de la cybersécurité, retrouvez également les actualités intelligence artificielle et technologie de Tech Explorateur.

L’affaire Hacktron ne démontre donc pas que l’IA peut désormais pirater seule les géants de la technologie. Elle montre quelque chose de plus réaliste — et probablement plus important : entre les mains de chercheurs compétents, une nouvelle génération de modèles peut réduire fortement le temps nécessaire pour résoudre certaines des étapes les plus difficiles d’une attaque informatique.

FAQ

Claude Opus 5 a-t-il vraiment piraté OpenAI ?

Pas seul. Trois chercheurs de Hacktron AI ont utilisé Claude Opus 5 comme outil lors d’une recherche de sécurité et ont combiné plusieurs vulnérabilités pour atteindre un dépôt interne d’OpenAI.

Quelle faille a été utilisée contre le forum OpenAI ?

La chaîne exploitait notamment CVE-2026-32882, une vulnérabilité de libheif pouvant conduire à une exécution de code à distance via le traitement d’images HEIF.

Les chercheurs ont-ils volé le code source d’OpenAI ?

Hacktron affirme que non. Pour démontrer leur niveau d’accès sans consulter les données propriétaires, les chercheurs ont utilisé Codex pour ouvrir une pull request inoffensive dans un dépôt interne avant d’arrêter leurs tests.

Sources officielles:

Hacktron AI — rapport technique complet sur la chaîne de vulnérabilités et la chronologie de la divulgation
Hacking OpenAI — Hacktron AI

Discourse — avis de sécurité officiel concernant CVE-2026-32882
RCE via malformed HEIF file — Discourse Security Advisory

Anthropic — annonce officielle de Claude Opus 5 et informations sur ses capacités et mécanismes de sécurité
Introducing Claude Opus 5 — Anthropic

Anthropic — documentation sur les protections appliquées aux usages cybersécurité d’Opus 5
Cybersecurity safeguards for Claude Opus 5