Ordinateurs · 20/09/2026

Trois chercheurs piratent OpenAI en moins de 72 heures à l'aide de Claude, l'IA d'Anthropic

Trois chercheurs en cybersécurité de Hacktron.AI ont exploité le 18 septembre 2026 une faille dans le forum communautaire d'OpenAI à l'aide de l'IA Claude d'Anthropic, obtenant un accès à des comptes employés et au dépôt GitHub privé de l'entreprise, pour une prime de bug bounty de 6 500 dollars.

Transparence : cette page peut contenir des liens affilies ou sponsorises. Les recommandations restent editoriales.

Trois chercheurs en cybersécurité de la start-up Hacktron.AI ont révélé le 18 septembre 2026 avoir exploité une faille du forum communautaire d'OpenAI à l'aide de l'IA Claude d'Anthropic, obtenant en moins de 72 heures un accès à des comptes employés et au dépôt de code source privé de l'entreprise.

Une faille dans le traitement d'images HEIC/HEIF sur le forum Discourse

La chaîne d'attaque a débuté par l'exploitation d'une faille dans le traitement des images HEIC et HEIF du forum communautaire d'OpenAI, hébergé sur Discourse : ces fichiers étaient traités par ImageMagick via une version vulnérable de la bibliothèque libheif, contenant un dépassement de tampon de tas (heap buffer overflow).

Claude déployé en boucle autonome pour développer l'exploit

Les chercheurs ont fait tourner Claude en boucle autonome contre une instance de test de Discourse pour développer un exploit fonctionnel, jusqu'à obtenir une exécution de code à distance dès le 25 juillet — une démonstration concrète de l'usage offensif d'un assistant IA en recherche de vulnérabilités.

Accès aux comptes ChatGPT des employés et au dépôt GitHub privé

L'exploitation a permis d'accéder aux comptes ChatGPT et Codex d'employés via une faille d'authentification unique (SSO), ainsi qu'au dépôt de code source privé d'OpenAI contenant des logiciels d'IA propriétaires — sans toutefois donner accès aux poids des modèles eux-mêmes.

Moins de 3 000 dollars de jetons IA pour une prime de 6 500 dollars

L'ensemble de l'attaque a coûté moins de 3 000 dollars en tokens d'IA consommés, pour une prime de bug bounty de 6 500 dollars versée par OpenAI après une divulgation responsable de la vulnérabilité — un rapport coût/impact qui illustre la puissance offensive désormais accessible à une petite équipe.

Notre avis

Le directeur technique de Hacktron, Mohan Pedhapati, résume bien l'enjeu en déclarant : « nous ne sommes que trois gars avec des abonnements Claude et Codex » — une phrase qui devrait alerter l'ensemble du secteur sur la façon dont l'IA agentique abaisse radicalement la barrière à l'entrée pour découvrir des vulnérabilités critiques, dans un sens comme dans l'autre.