Des chercheurs en sécurité ont utilisé Claude Opus 5 d’Anthropic pour contribuer au développement d’un exploit qui a fait partie d’une chaîne d’attaque permettant d’atteindre l’environnement GitHub privé d’OpenAI en moins de 72 heures.
L’équipe de Hacktron AI a enchaîné deux faiblesses distinctes : une faille d’exécution de code à distance affectant le forum communautaire d’OpenAI propulsé par Discourse, et une faiblesse du système d’authentification unique d’OpenAI. Selon Hacktron, les chercheurs ont signalé les problèmes plutôt que de chercher à obtenir un accès plus étendu, et OpenAI leur a ensuite versé une prime de 6 500 dollars US pour la découverte d’un bug.
Ce cas montre à quelle vitesse les outils d’IA en amélioration constante peuvent accélérer le développement d’exploits, tandis que des faiblesses familières dans les systèmes d’identité et les logiciels tiers déterminent toujours jusqu’où un attaquant peut aller.
Claude Opus 5 a transformé un bug d’image en véritable RCE
Le point d’entrée de Hacktron était community.openai.com, qui fonctionne sur la plateforme Discourse. Selon les chercheurs, les téléversements d’images HEIF et HEIC passaient par ImageMagick et la bibliothèque de décodage d’images libheif, où ils ont identifié un débordement de tampon du tas exploitable pour exécuter du code à distance.
Les chercheurs ont d’abord utilisé Claude Opus 4.8 pour développer l’exploit. Hacktron a indiqué que le modèle pouvait le faire fonctionner lorsque la randomisation de la disposition de l’espace d’adressage était désactivée, mais qu’il peinait à produire une attaque fiable contre la configuration par défaut de Discourse.
Après qu’Anthropic a lancé Claude Opus 5 le 24 juillet, les chercheurs ont soumis le même problème au nouveau modèle. Hacktron a déclaré qu’Opus 5 avait produit un exploit ARM64 fonctionnel en trois heures, puis l’avait adapté à l’environnement de Discourse.
« Quelques heures après la sortie d’Opus 5, nous lui avons soumis le même problème, et il a réussi », ont déclaré les chercheurs de Hacktron, selon TechCrunch.
Le 25 juillet, Hacktron a déclaré avoir obtenu une exécution de code à distance ainsi qu’un accès administrateur au forum communautaire d’OpenAI.
Une faiblesse du SSO a transformé l’accès au forum en compromission plus vaste
La compromission du forum n’était que la première étape.
Hacktron a découvert séparément que les jetons de session associés à l’authentification du forum d’OpenAI pouvaient rester valides pour ChatGPT et Codex, une faiblesse que les chercheurs ont attribuée à l’infrastructure d’identité d’OpenAI.
Comme ChatGPT et Codex peuvent se connecter à d’autres services professionnels, Hacktron a indiqué que des comptes compromis pouvaient potentiellement exposer GitHub, Slack et la messagerie électronique, selon les intégrations associées au compte.
Hacktron a finalement accédé au compte d’un employé dont l’environnement Codex était connecté à l’organisation GitHub d’OpenAI. Selon les chercheurs, ils ont demandé à Codex de créer une pull request inoffensive dans le monorepo interne d’OpenAI afin de démontrer l’impact sans examiner de code source sensible.
Quartz a indiqué que l’examen mené par OpenAI avait révélé des « lectures limitées » des métadonnées et du code de dépôts privés. L’entreprise a également restreint les autorisations des jetons de connexion communautaire et révoqué les jetons et sessions concernés, tandis que Discourse a corrigé la vulnérabilité du traitement des images.
Ce que les équipes de sécurité doivent retenir de cette chaîne d’attaque
Cet incident montre comment une vulnérabilité peut devenir bien plus grave lorsque les systèmes d’identité et les services connectés étendent sa portée.
Les équipes de sécurité doivent porter une attention particulière à trois aspects :
- Limiter la confiance accordée au SSO : Les jetons délivrés à des services moins sensibles, comme les forums, ne devraient pas automatiquement donner accès à des applications plus sensibles.
- Auditer les logiciels tiers : Les plateformes communautaires et les outils d’assistance peuvent servir de points d’entrée vers des systèmes critiques lorsque les identités et les intégrations se recoupent.
- Suivre les correctifs en amont : TechCrunch a relevé que la faille de libheif avait été corrigée plusieurs mois auparavant, mais qu’aucun identifiant CVE ne lui avait été attribué, ce qui a peut-être rendu la dépendance vulnérable plus facile à manquer.
La composante IA compte également. Quartz a rapporté que le projet de recherche plus vaste de Hacktron avait coûté moins de 3 000 dollars US en utilisation de modèles d’IA. Hacktron a aussi indiqué qu’Opus 5 avait résolu un problème de développement d’exploit qu’Opus 4.8 ne parvenait pas à traiter de manière fiable.
L’incident OpenAI montre que l’IA peut réduire le temps et l’expertise spécialisée nécessaires au développement d’exploits fonctionnels. Mais le chemin vers les systèmes sensibles reposait toujours sur une combinaison familière de logiciels vulnérables, d’une confiance excessive accordée aux jetons et de comptes connectés.
Les attaquantsdétournent des sessions Claude authentifiées avec un logiciel voleur d’informations, ce qui leur permet d’épuiser les crédits d’utilisation de l’IA payante sans voler les mots de passe des utilisateurs.