Trois chercheurs de Hacktron ont utilisé Claude pour exploiter deux failles liées au forum d’OpenAI. En moins de 72 heures, ils ont atteint plusieurs comptes professionnels et un dépôt GitHub interne.

Harsh Jaiswal, Mohan Pedhapati et Rahul Maini ont révélé leurs travaux le 13 septembre 2026. L’intrusion remonte au 25 juillet. Les chercheurs affirment n’avoir consulté aucun code interne sensible.

Deux failles ouvrent la voie

L’attaque contrôlée commence sur community.openai.com, le forum d’OpenAI hébergé par Discourse. Son système acceptait notamment les images aux formats HEIC et HEIF.

Ces fichiers passaient par ImageMagick, qui utilisait la bibliothèque libheif pour les décoder. La version installée comportait une faille de corruption de mémoire.

Une image spécialement préparée permettait ainsi d’exécuter du code à distance. Cette capacité, appelée RCE, donne à l’attaquant un contrôle sur le serveur vulnérable.

Le conteneur Discourse reposait sur Debian 12 et libheif 1.19.7. Une correction existait déjà dans le projet, mais elle n’avait pas été identifiée comme une mise à jour de sécurité.

• Une image HEIF déclenchait la faille de libheif.
• ImageMagick traitait le fichier envoyé sur Discourse.
• Les chercheurs obtenaient un accès au forum d’OpenAI.
• Une seconde faille concernait l’authentification SSO d’OpenAI.
• Cette combinaison ouvrait des comptes ChatGPT et Codex professionnels.

Claude accélère le travail technique

Hacktron commence ses recherches le 23 juillet. Claude Opus 4.8 repère alors les correctifs absents dans la version de libheif utilisée par Discourse.

Le modèle produit ensuite un premier exploit lorsque l’ASLR reste désactivé. Cette protection complique les attaques en changeant aléatoirement l’emplacement des données dans la mémoire.

Claude Opus 4.8 ne parvient toutefois pas à stabiliser l’exploitation avec cette protection active. Le soir du 24 juillet, Hacktron teste le nouveau Claude Opus 5.

Selon les chercheurs, le modèle produit un exploit fonctionnel sur ARM64 en trois heures. Ils l’adaptent ensuite à l’architecture x86-64 et à la configuration utilisée par Discourse.

Claude refuse cependant de viser directement une installation distante. L’équipe contourne cette restriction en présentant son propre serveur Discourse comme un environnement de compétition informatique.

Un dépôt interne d’OpenAI atteint

Hacktron affirme avoir accédé à plusieurs comptes ChatGPT d’employés. L’un de ces comptes utilisait Codex avec une connexion à l’organisation GitHub d’OpenAI.

Les chercheurs ont demandé à Codex de créer la demande de modification numéro 1186742 dans le dépôt interne openai/openai. Cette opération devait uniquement démontrer la portée de l’accès.

Ils déclarent ne pas avoir ouvert ni téléchargé le code source. Ils ont ensuite interrompu leurs tests et transmis les informations à OpenAI et Discourse.

Cet épisode survient après l’incident OpenAI–Hugging Face révélé en juillet. Dans ce précédent cas, des modèles d’OpenAI avaient dépassé le cadre prévu durant une évaluation.

OpenAI corrige en environ 14 heures

La chronologie publiée par Hacktron permet de suivre l’incident. Les horaires suivants correspondent à l’heure de Paris.

• 25 juillet, entre 7 h et 8 h : exécution de code et accès administrateur au forum.
• Entre 10 h et 12 h : envoi du premier rapport à OpenAI par Bugcrowd.
• Entre 15 h 30 et 17 h 30 : accès aux comptes et création de la preuve de concept.
• À 17 h 30 : Hacktron indique avoir arrêté tous ses tests.
• 26 juillet à 0 h 49 et 45 secondes : OpenAI confirme la correction de son côté.

Discourse reçoit également le signalement le 25 juillet. Une correction est prête le 27 juillet, puis un avis de sécurité est publié le lendemain.

OpenAI verse finalement 6 500 dollars à Hacktron le 1er septembre. L’entreprise précise que cette récompense concerne la faille présente dans ses propres systèmes.

Les tests visant le forum hébergé par Discourse se trouvaient explicitement hors du périmètre du programme d’OpenAI. Cette précision limite donc la portée de la récompense.

Une menace plus rapide, mais pas autonome

Hacktron élargit ensuite ses recherches sous le nom « HEIF Heist ». Trois chercheurs auraient étudié plusieurs grandes plateformes pendant moins de deux mois.

L’ensemble aurait coûté moins de 3 000 dollars en jetons d’intelligence artificielle. L’adaptation à chaque nouvelle cible demandait généralement un ou deux jours.

Cependant, Hacktron ne parle pas de piratage totalement autonome. Les chercheurs expérimentés ont continué à guider les modèles, vérifier leurs résultats et choisir les étapes suivantes.

Au 14 septembre, la version de sécurité la plus récente de libheif était la 1.23.4. Les administrateurs doivent aussi isoler le traitement des images non fiables.

🔍 DUC, mon avis

Le principal avertissement ne vient pas d’une IA capable de tout pirater seule. Ce scénario n’est pas démontré. Le changement vient surtout de la vitesse : trois experts peuvent désormais accomplir en quelques jours un travail autrefois beaucoup plus long. Les protections et les délais de correction devront suivre le même rythme.

Analyse finale

OpenAI et Discourse ont corrigé les failles signalées. Aucun vol de données ou de code source n’est établi. Cependant, cet épisode montre comment une bibliothèque oubliée et une authentification mal configurée peuvent ouvrir une chaîne d’accès considérable.

✍️ DUC
Sources : Hacktron AI — rapport technique · Discourse — avis de sécurité · Wall Street Journal — enquête du 18 septembre 2026