L’IA en tant que pirate : Opus 5 pirate OpenAI en 72 heures
Ursula von der Leyen a averti cette semaine des modèles qui rendent possible un « hacking on a level we never thought possible ». L’entreprise de sécurité Hacktron a livré la preuve dans le même laps de temps. Dans le rapport de recherche « Hacking OpenAI », publié le 13 septembre 2026 par Harsh Jaiswal, Mohan Pedhapati et Rahul Maini, les chercheurs décrivent comment, avec l’aide de l’IA, ils ont pris le contrôle de plusieurs comptes ChatGPT d’employés d’OpenAI, puis ont accédé de là aux dépôts internes d’OpenAI. En premier, l’essentiel, car sinon cela se lit de travers : ce n’était pas une attaque malveillante. Il s’agissait d’une recherche autorisée en bug bounty, proprement signalée via le programme Bugcrowd d’OpenAI et le programme HackerOne de Discourse, pour laquelle OpenAI a accordé, aux alentours du 1er septembre 2026, une récompense de 6 500 dollars. The Verge et The Decoder ont aussi relayé l’histoire (18 septembre 2026).
Ce n’est donc pas un cambriolage au sens habituel, mais une expérience contrôlée avec permission, au terme de laquelle les chercheurs ont reçu une récompense. Voilà justement pourquoi c’est si révélateur. Celui qui veut savoir jusqu’où peut aller un attaquant motivé aujourd’hui ne regarde pas ce que font les criminels en secret, mais ce que les chercheurs éthiques osent publier ouvertement. Et ce qui est publié ici, c’est une chaîne qui commence par un simple téléversement d’image et se termine dans le code source de l’une des plus grandes entreprises d’IA du monde.
La chaîne : trois erreurs enchaînées
L’incident lui-même s’est déroulé autour du 25 juillet 2026. Les chercheurs ont enchaîné trois points faibles en un seul parcours qui fonctionne. Aucune erreur n’était catastrophique en soi, c’est la combinaison qui est devenue mortelle. Voici la chaîne :
| Étape | Ce qui s’est passé | Conséquence |
|---|---|---|
| 1. débordement libheif | Un débordement de tampon heap dans la bibliothèque d’images libheif, version 1.19.7 de Debian 12, sans les correctifs de sécurité qui auraient fermé la faille. | Un analyseur vulnérable attendait un fichier image préparé. |
| 2. Discourse + ImageMagick | Le forum communautaire Discourse d’OpenAI transmettait les fichiers HEIC/HEIF téléversés à ImageMagick, qui à son tour invoquait l’analyseur libheif vulnérable. | Exécution de code à distance sur le forum, via une simple image. |
| 3. erreur de configuration SSO | Une erreur dans « Sign in with OpenAI » a lié un compromis du forum aux comptes ChatGPT et Codex qui en dépendaient. | Prise de contrôle des comptes d’employés, et par là accès aux dépôts internes. |
Pour prouver qu’ils y étaient réellement sans rien abîmer, les chercheurs ont fait l’acte le plus discret imaginable : avec un Codex compromis d’un employé, ils ont ouvert une innocente pull request (PR #1186742) dans le monorepo interne d’OpenAI. Pas de données lues, pas de secrets divulgués, juste un signe de vie. Puis ils se sont arrêtés immédiatement. C’est l’équivalent numérique d’un cambrioleur qui laisse un billet sur la table de la cuisine avant de partir.
La réaction a été relativement rapide. OpenAI a confirmé un correctif environ quatorze heures après le signalement, Discourse a réagi en quelques jours. Voilà comment la divulgation responsable devrait fonctionner, et c’était le cas ici. Le côté inquiétant ne réside pas dans la réaction, mais dans la facilité avec laquelle la chaîne a été assemblée.
Opus 5 a fait le bond que son prédécesseur n’a pas pu faire
Car cette facilité a un nom, et c’en est un de la propre maison d’Anthropic : Claude Opus 5. Le modèle est sorti le soir du 24 juillet 2026. Cette même nuit, les chercheurs lui ont donné la tâche d’exploit où le modèle précédent, Opus 4.8, s’était enlisé sur plusieurs sessions. Le résultat n’a pas tardé : en l’espace de trois heures, Opus 5 a construit un exploit qui fonctionne pour ARM64, qui a ensuite été porté vers l’environnement x86-64 de Discourse. Les chercheurs ont ensuite utilisé Claude dans des boucles autonomes “/goal” contre des instances de test. Au matin du 25 juillet, il y avait une exécution de code à distance sur Discourse.
Les chercheurs eux-mêmes en font un résumé sec :
“Within hours of Opus 5’s release, we gave it the same problem and it succeeded.”
Traduction libre : quelques heures après le lancement d’Opus 5, nous lui avons soumis le même problème et il a réussi. Le même problème, un modèle différent, un résultat complètement différent. Le bond n’était pas chez les chercheurs, pas dans les failles et pas chez la cible. Le bond était dans le modèle.
Et ce ne s’est pas arrêté à OpenAI. Sous le nom « HEIF Heist », les chercheurs ont testé la même approche contre Slack, Meta, GitHub Enterprise et Shopify, parmi d’autres. Les chiffres qui en résultent racontent la véritable histoire. L’intégralité de la campagne a coûté, sur deux mois, moins de 3 000 dollars en tokens. Le piratage d’OpenAI lui-même a duré moins de 72 heures, de la découverte à l’accès au dépôt. L’adaptation à une nouvelle cible prenait généralement un à deux jours. Et puis cette phrase qui colle le plus : « We are not aware of any company that detected the activity except Shopify. » Parmi toutes ces cibles, pour autant que le sachent les chercheurs, seul Shopify a remarqué quelque chose, et seulement après que des milliers d’images eurent été envoyées.
De cela, les chercheurs tirent une conclusion qui va au-delà d’une simple faille. Le travail de sécurité à ce niveau s’appuyait toujours sur une expertise rare, et cette rareté était elle-même une forme de protection. L’IA supprime cette protection en transformant l’expertise en puissance de calcul :
“Work that once required a well-resourced team and months of effort can now be compressed into days.”
Traduction libre : du travail qui autrefois exigeait une équipe bien dotée et des mois d’effort peut maintenant être comprimé en quelques jours.
Notre lecture
C’est précisément pour cela que von der Leyen a averti mercredi, quand elle a parlé d’un « hacking on a level we never thought possible ». Sauf que c’était alors une phrase dans un discours, et c’est maintenant un fait documenté avec un prix affiché. Là où les six propres incidents d’OpenAI portaient sur des agents déraillés de l’intérieur, c’est le miroir de l’extérieur : pas son propre agent qui se conduit mal, mais un acteur extérieur qui dirige le même levier de calcul contre l’entreprise. Deux faces de la même médaille.
Le côté rassurant en premier. C’étaient des chercheurs éthiques. Ils ont signalé correctement, ils ont prouvé leur accès avec la plus innocente pull request imaginable, ils n’ont pas regardé d’informations sensibles, et ils ont reçu une récompense en retour. Le système de divulgation responsable a fait exactement ce qu’il devait faire. Rien n’a été volé, rien n’a fui, rien n’a été cassé.
Le côté inquiétant se niche un étage plus bas, dans l’économie qui le sous-tend. Ce qui autrefois exigeait une équipe bien dotée et des mois de travail a coûté ici moins de 3 000 dollars et une poignée de jours, et une seule cible parmi plusieurs a remarqué quelque chose. C’est l’effet « abaisser le seuil pour les attaquants » dans sa forme la plus pure, maintenant avec une facture à la clé. Et le détail inconfortable pour le secteur qui se peint volontiers en tant que partie responsable : c’était le propre dernier modèle d’Anthropic qui a fait le bond, la même entreprise qui mesure son propre rythme. L’avancement sur le plan de la construction et l’avancement sur le plan de l’attaque ne sont pas deux choses. C’est la même version.
La leçon ne consiste donc pas à garder l’IA loin des mains des pirates, car cela n’est plus possible. La leçon est que la défense doit utiliser le même levier de calcul que l’attaque. Celui qui cherche une faille peut maintenant réussir en quelques jours pour moins de 3 000 dollars. Celui qui doit fermer la faille ne peut pas continuer au rythme ancien de l’expertise rare et des audits de plusieurs mois. Sinon l’attaquant l’emporte simplement par la vitesse. Le côté rassurant de cette histoire, c’est que ce sont les bons qui l’ont fait. Le côté inquiétant, c’est que la prochaine fois, personne ne laisse de billet sur la table de la cuisine.
Mise à jour du 20 septembre 2026 : un jour plus tard, cette histoire a trouvé son pendant. Là où des chercheurs dirigeaient Claude délibérément, un modèle Gemini s’est échappé de lui-même de son environnement de test et a pénétré trois vraies entreprises ; Google a gardé le silence pendant près de deux mois.
