La connexion IA d'un employé a atteint le code d'OpenAI

Une prime de bug a atteint le code même d'OpenAI

Entre le 23 et le 25 juillet, une petite équipe de chercheurs en primes aux bugs, opérant sous le nom Hacktron, a enchaîné deux failles de sécurité ordinaires jusqu'à obtenir un accès au code source interne d'OpenAI. La première était un dépassement de tampon sur le tas dans libheif, une bibliothèque d'images open source, un bug déjà corrigé discrètement en amont l'année précédente mais jamais associé à un CVE, si bien que la plupart des utilisateurs n'ont jamais su qu'il fallait le corriger. La seconde était une mauvaise configuration de l'authentification unique sur le forum d'aide communautaire d'OpenAI lui-même. Le téléversement d'une image HEIF manipulée via le logiciel Discourse de ce forum a déclenché le dépassement et a donné aux chercheurs une exécution de code à distance sur le serveur du forum d'ici le matin du 25 juillet.

À partir de là, la faille SSO leur a permis de prendre le contrôle des comptes ChatGPT et Codex des employés utilisant le même identifiant sur le site communautaire d'OpenAI et ses outils internes. L'un de ces employés avait son compte Codex connecté à l'organisation GitHub d'OpenAI. En utilisant cette connexion, les chercheurs ont ouvert une pull request de preuve de concept, numérotée 1186742, dans le dépôt de code interne d'OpenAI lui-même. OpenAI a confirmé la même nuit que le problème était corrigé, et a versé une prime de 6500 dollars via son programme le 1er septembre.

Un bug, plusieurs entreprises

OpenAI n'était pas la seule cible. La même faille de libheif, poursuivie dans le cadre d'un projet que les chercheurs appellent HEIF Heist, a donné à l'équipe des points d'appui chez plusieurs autres entreprises qui exploitent elles aussi des chaînes de traitement d'images construites sur la même bibliothèque.

Les chercheurs affirment que l'ensemble du projet HEIF Heist, sur deux mois et à travers les quatre entreprises, leur a coûté moins de 3000 dollars en usage de modèles d'IA. C'est là le vrai chiffre marquant : un seul bug corrigé en silence et sans CVE, dans une bibliothèque open source partagée, était assez bon marché pour qu'une équipe de trois personnes le transforme en découvertes rémunérées chez quatre des entreprises les mieux défendues du secteur, en utilisant un modèle d'IA pour effectuer l'essentiel du travail de tri et d'enchaînement des exploits.

Le modèle n'était pas le point faible

Il est tentant de lire cette histoire comme celle d'un modèle d'IA s'introduisant seul dans des systèmes. Ce n'est pas le cas. Claude Opus 4.8 était l'outil des chercheurs pour trouver le dépassement, construire un exploit fonctionnel et l'enchaîner à la faille SSO plus vite et moins cher qu'une équipe humaine seule n'aurait pu le faire. Les points faibles réels étaient banals et familiers : un vieux bug de bibliothèque qui n'a jamais reçu de CVE et n'a donc jamais été corrigé partout où il était utilisé, une configuration d'authentification unique qui permettait à un seul identifiant d'ouvrir plusieurs systèmes sans rapport entre eux, et le compte d'assistant de code d'un employé qui portait un accès en écriture au dépôt le plus sensible d'une entreprise.

Rien de tout cela n'a exigé de vaincre les propres défenses d'IA d'OpenAI, car rien de tout cela n'a touché aux systèmes d'IA d'OpenAI. Le forum d'aide communautaire, une installation Discourse tournant sur un code de traitement d'images dépassé, était la porte. Le propre compte de l'employé, et tout ce à quoi ce compte se trouvait connecté, était le couloir qui menait de cette porte au monorepo.

Ce qu'une entreprise européenne devrait vraiment vérifier

Chacune des quatre entreprises touchées dans ce projet fait fonctionner un programme sérieux de sécurité fournisseurs, et chacune avait pourtant la même exposition : un système interne accessible via un compte dont l'intégration à un assistant de code IA allait plus loin que quiconque ne l'avait cartographiée. Une évaluation classique du risque fournisseurs note les outils SaaS qu'une entreprise achète directement. Elle demande rarement à quoi le compte Codex, Claude Code ou Copilot d'un développeur est connecté de l'autre côté, ni ce qui se passe si ce seul identifiant est détourné quelque part sans rapport avec les propres systèmes de l'entreprise.

Cet écart compte au regard de NIS2 et du Cyber Resilience Act, où le délai de notification démarre quand un incident est découvert, pas quand il se produit. Dans ce cas, la découverte est venue de chercheurs externes qui faisaient fonctionner un programme de primes, pas d'une surveillance interne. Une entreprise incapable de dire, aujourd'hui, à quelles autres plateformes sont connectés les comptes d'assistant IA de ses développeurs n'a aucun moyen réaliste de savoir si la même chaîne l'a déjà atteinte.

À lire ensuite: Cloudflare Trouve Des Bugs Par IA, Ne Les Corrige Pas Encore  |  Anthropic vous laisse héberger vous-même ses journaux obligatoires