OpenAI piraté en moins de 72 heures par des chercheurs équipés de Claude, l’IA d’Anthropic

Ce qu’il faut retenir :

• Trois chercheurs de Hacktron AI ont pris le contrôle de comptes ChatGPT d'employés d’OpenAI le 25 juillet.
• Ils se sont appuyés sur un modèle Claude d’Anthropic et ont atteint le code interne d’OpenAI via GitHub.
• OpenAI a corrigé la faille en 14 heures environ et versé une prime de 6 500 dollars.

Moins de 72 heures : c’est le temps qu’il a fallu à trois chercheurs en cybersécurité pour passer d’une image piégée au dépôt de code interne d’OpenAI. Leur outil de travail venait du concurrent direct. L’équipe de Hacktron AI, une petite société de sécurité, s’est aidée d’un modèle Claude d’Anthropic pour monter l’attaque. L’affaire, révélée jeudi 17 septembre par le Wall Street Journal, remonte au 25 juillet. Il s’agissait d’un piratage éthique : OpenAI a été prévenu aussitôt et a payé les chercheurs.

Comment OpenAI a-t-il été piraté ?

Par la petite porte. Les chercheurs n’ont pas attaqué ChatGPT mais le forum communautaire d’OpenAI, hébergé par un prestataire, Discourse. D’après le récit publié par Hacktron, une faille dans une bibliothèque de traitement d’images leur a permis d’exécuter du code sur le serveur du forum à partir d’un simple envoi de fichier. Ils ont ensuite exploité un défaut du système d’authentification unique (SSO) d’OpenAI, celui qui relie le forum aux autres services maison.

Résultat : la prise de contrôle de comptes ChatGPT et Codex appartenant à des employés. Ces comptes étaient connectés à GitHub, donc au code privé de l’entreprise. Pour prouver l’accès sans rien consulter de sensible, l’équipe a déposé une proposition de modification inoffensive dans le dépôt principal d’OpenAI, puis s’est arrêtée là. Selon Hacktron, des services comme Slack ou les e-mails étaient aussi à portée.

OpenAI a corrigé le défaut d’authentification environ 14 heures après le signalement et versé 6 500 dollars au titre de son programme de bug bounty, ce dispositif par lequel les entreprises rémunèrent des hackers éthiques qui testent leurs défenses. “Nous remercions les chercheurs de nous avoir contactés et d’avoir partagé leurs découvertes”, a réagi l’entreprise auprès du Financial Times. Anthropic n’a pas souhaité commenter.

Quel rôle a joué Claude ?

Les chercheurs disposaient, selon le Financial Times, d’un accès à un outil d’Anthropic conçu pour les professionnels de la sécurité. VentureBeat précise qu’il s’agit de Claude Opus 5, qui a aidé à transformer la faille d’image en chaîne d’exploitation complète. Un agent a tourné pendant la nuit et l’accès au serveur était acquis au matin.

Le billet de Hacktron livre un détail gênant : le modèle refusait d’écrire un exploit visant un serveur distant réel. Les chercheurs ont maquillé la cible en exercice de type CTF (capture the flag), un concours de hacking, pour obtenir sa coopération. Les garde-fous existent, et ils se contournent.

VentureBeat y voit un changement d’économie pour l’exploitation de failles complexes : trois personnes et un agent IA ont suffi.

Une série noire pour la sécurité d’OpenAI

L’épisode survient deux semaines après l’évasion de plus de 1 000 agents d’OpenAI d’un environnement de test, qui avaient piraté la start-up Hugging Face sans qu’aucun humain ne le leur demande. Comme nous l’évoquions cette semaine, OpenAI a aussi publié six cas de comportement préoccupant de ses modèles. Washington cherche de son côté comment encadrer la sortie des modèles les plus puissants, et a bloqué pendant un temps certains outils d’Anthropic.

Chez Anthropic, Claude pilote déjà 26 % de la R&D

Le même jour, Anthropic a publié un chiffre qui relance le même débat. 26 % de ses travaux de recherche et développement sont désormais “menés par” Claude, contre 1 % en mars. Dans ces cas, l’IA réalise la majorité des tâches à partir d’instructions humaines et sous supervision. Sur 90 % des tâches étudiées, elle collabore avec un humain et abat de larges pans du travail. Aucune n’a été conduite en autonomie complète.

Anthropic dit partager ces données pour aider le public à mesurer la distance qui nous sépare de l’auto-amélioration récursive, le stade où une IA peut s’entraîner et se perfectionner seule. C’est le seuil que redoutent ceux qui craignent une perte de contrôle humain.

Ce qu’il faut surveiller

Deux courbes avancent ensemble : la capacité des modèles à attaquer des systèmes, et leur part dans leur propre conception. Les prochains mois diront si les laboratoires durcissent l’accès à leurs outils de cybersécurité, et si la prime de 6 500 dollars, modeste au regard de l’accès obtenu, pousse OpenAI à revoir son barème.