Hacktron pirate les repos OpenAI avec Claude Opus 5

Quand un modèle IA réussit là où son prédécesseur avait échoué

Le 1er septembre 2026, la startup de sécurité Hacktron AI a publié une divulgation technique détaillant comment une équipe de trois chercheurs — Harsh Jaiswal, Mohan Pedhapati et Rahul Maini — avait utilisé Claude Opus 5 d'Anthropic pour développer et déployer un exploit enchaîné contre l'infrastructure web d'OpenAI. L'attaque, menée dans le cadre strict du programme de bug bounty d'OpenAI, a permis de passer d'un formulaire d'upload d'images sur le forum communautaire jusqu'aux dépôts GitHub internes contenant le code source de ChatGPT et Codex, en moins de soixante-douze heures.

La chaîne d'exploitation repose sur deux vulnérabilités. La première est CVE-2026-32882, un heap buffer overflow dans libheif version 1.19.7, la bibliothèque open-source utilisée pour décoder les images au format HEIC/HEIF. En soumettant une image HEIC malformée sur le forum communautaire d'OpenAI — qui utilise Discourse — les chercheurs ont déclenché le buffer overflow dans le processus de traitement des images côté serveur. La configuration du serveur Discourse d'OpenAI n'isolait pas suffisamment le processus de traitement des images, permettant une exécution de code dans le contexte du serveur web.

La seconde vulnérabilité est une misconfiguration dans le système d'authentification unique (SSO) d'OpenAI. Le forum Discourse était configuré pour utiliser les comptes OAuth d'OpenAI, et cette intégration présentait une faille permettant, après avoir obtenu l'exécution de code sur le serveur Discourse, de manipuler les tokens de session pour usurper des comptes d'employés OpenAI connectés au forum. De là, les chercheurs ont pu accéder aux intégrations GitHub liées à ces comptes et naviguer dans les dépôts internes de l'organisation.

Le rôle de Claude Opus 5 dans cette chaîne est central et constitue le cœur de la divulgation. Harsh Jaiswal raconte que l'équipe avait déjà identifié CVE-2026-32882 et tenté de développer un exploit fonctionnel avec Claude Opus 4.8, sans succès après de multiples sessions. La difficulté résidait dans l'adaptation de l'exploit d'un environnement macOS local vers l'environnement x86-64 Linux utilisé par le serveur Discourse d'OpenAI : les offsets mémoire, les structures du tas et les gadgets ROP diffèrent significativement entre les deux architectures. Claude Opus 4.8 produisait des payloads fonctionnels localement mais échouant systématiquement en production.

Le jour du lancement de Claude Opus 5, l'équipe a repris les mêmes sessions. Selon le compte-rendu de Hacktron, Opus 5 a produit un exploit fonctionnel pour l'environnement local macOS en trois heures, puis a adapté le payload à l'environnement x86-64 Linux en deux heures supplémentaires. La différence qualitative entre les deux modèles se manifeste, selon les chercheurs, dans la capacité d'Opus 5 à maintenir un contexte technique cohérent sur de longues sessions de débogage, à identifier précisément les sources d'échec (misalignment des structures du tas entre les builds macOS et Linux de libheif) et à proposer des stratégies alternatives d'exploitation de manière itérative.

CVE-2026-32882 avait été corrigée dans libheif 1.19.8, publiée le 14 juillet 2026. Cependant, la version packagée dans les distributions Debian et Ubuntu stables utilisées par l'infrastructure Discourse d'OpenAI n'avait pas encore intégré ce correctif. Ce type de décalage entre la publication d'un correctif upstream et son intégration dans les distributions est un vecteur d'exposition chronique pour les applications web utilisant des bibliothèques de traitement de médias — historiquement perçues comme peu sensibles mais souvent exposées directement sur des services publics.

OpenAI a confirmé avoir reçu le rapport de Hacktron dans les heures suivant la démonstration. Un patch de la configuration SSO et la mise à jour de libheif ont été déployés en 14 heures. La prime de 6 500 dollars a été versée le 1er septembre. La publication de la divulgation a été coordonnée selon le calendrier de responsible disclosure convenu dans les règles du programme de bug bounty. L'incident a depuis été couvert par The Hacker News, The New Stack, Cybersecurity News et AndroidHeadlines, soulignant l'impact symbolique d'un exploit contre OpenAI développé avec un modèle concurrent.

L'IA comme multiplicateur de force offensive : un seuil franchi

Le cas Hacktron/OpenAI dépasse largement le cadre d'un bug bounty réussi. Il constitue une démonstration empirique d'un scénario que la communauté de sécurité théorisait depuis le lancement des grands modèles de langage capables de raisonnement technique : un LLM suffisamment capable peut abaisser le seuil de compétence nécessaire pour développer des exploits de classe professionnelle. La distinction entre le succès d'Opus 5 et l'échec d'Opus 4.8 — sur la même tâche, avec les mêmes inputs — fournit une preuve concrète que les capacités offensives des LLM ont franchi un seuil qualitatif en 2026.

Cela soulève des questions directes pour les équipes de sécurité. Si une équipe de trois chercheurs peut, en moins de 72 heures et avec un accès commercial à un modèle grand public, développer une chaîne d'exploit contre un acteur majeur de l'IA comme OpenAI, quel est le délai réaliste pour un acteur hostile — gouvernemental ou cybercriminel — disposant de ressources supérieures ? L'accélération des capacités de développement d'exploits par les LLM comprime le temps disponible entre la publication d'un CVE et le développement d'un exploit fonctionnel, remettant en question les fenêtres de patch traditionnellement acceptées dans les politiques de gestion des vulnérabilités.

La question de la responsabilité des fournisseurs de LLM est posée directement. Anthropic a publié en août 2026 une mise à jour de sa politique d'usage acceptable pour les cas d'utilisation en sécurité, distinguant les usages défensifs légitimes (tests de pénétration autorisés, bug bounty, recherche) des usages offensifs non-autorisés. Dans le cas Hacktron, l'usage était clairement dans la première catégorie. Mais les barrières techniques pour distinguer les deux restent poreuses, et les modèles ne peuvent pas vérifier l'autorisation contractuelle des utilisateurs au moment de l'exécution.

Pour les responsables de la sécurité des applications web, cet incident met en lumière deux angles morts fréquents : les bibliothèques de traitement de médias (libheif, libwebp, ImageMagick, FFmpeg) sont des vecteurs d'attaque sous-estimés car perçus comme peu sensibles, et les intégrations SSO entre services internes et forums/outils communautaires créent souvent des ponts non-intentionnels entre des environnements de niveaux de sensibilité très différents. Une cartographie rigoureuse des flux d'authentification entre les services exposés publiquement et les ressources internes est une priorité souvent négligée dans les revues de sécurité applicative.

Ce qu'il faut retenir

• Claude Opus 5 a permis à Hacktron de produire en 5 heures un exploit que l'équipe n'avait pas réussi à développer après plusieurs sessions avec Claude Opus 4.8, signalant un saut qualitatif dans les capacités offensives des LLM.
• CVE-2026-32882 (libheif 1.19.7) était patchée depuis le 14 juillet 2026 : le retard de déploiement des correctifs reste le facteur d'exposition critique, plus que la sophistication de l'attaque elle-même.
• Les bibliothèques de traitement de médias et les ponts SSO entre services publics et ressources internes doivent être traités comme des surfaces d'attaque prioritaires dans les revues de sécurité applicative.