Une société de recherche en sécurité a déclaré vendredi avoir réussi à s’introduire dans les systèmes internes d’OpenAI en utilisant le dernier logiciel d’Anthropic, révélant ainsi la rapidité avec laquelle la technologie peut mener des cyberattaques sophistiquées.
Les chercheurs de la société de sécurité Hacktron ont déclaré avoir découvert une faille de sécurité dans le forum d’aide public d’OpenAI, géré par la plateforme Discourse, qui leur a permis de prendre le contrôle du site.
« Nous avons immédiatement signalé la vulnérabilité initiale d’OpenAI et de Discourse et avons travaillé avec eux pour coordonner le correctif », a déclaré Hacktron dans un article de blog.
« Nous apprécions leur attention aux détails et leur résolution rapide de ce problème », ajoute le message.
OpenAI a confirmé que la faille avait été corrigée environ 14 heures après avoir été notifiée et a versé aux chercheurs une récompense de 6 500 $.
« Nous remercions les chercheurs de nous avoir contactés et d’avoir partagé leurs résultats. Nous avons réduit les autorisations sur les jetons de connexion communautaires et révoqué les jetons et les sessions concernés », a déclaré Drew Pusateri, porte-parole d’OpenAI.
Les chercheurs d’Hacktron ont déclaré qu’ils avaient initialement utilisé Claude Opus 4.8 d’Anthropic pour identifier et exploiter la faille logicielle, mais qu’ils avaient eu du mal à la faire fonctionner de manière cohérente.
Après qu’Anthropic ait publié Claude Opus 5, les chercheurs ont déclaré que le nouveau modèle avait produit un hack fonctionnel en trois heures environ.
Les pirates n’ont pas utilisé Claude Mythos, un modèle Anthropic plus performant et réservé à un petit groupe d’organisations de cyberdéfense contrôlées.
Anthropic a décrit Mythos comme ayant les capacités de cybersécurité les plus puissantes de tous les modèles qu’il a construit.
Hacktron a déclaré que la faille logicielle sous-jacente n’est pas propre à OpenAI et est utilisée dans les produits de nombreuses entreprises, y compris ceux fabriqués par Slack et Meta.
La société a déclaré qu’elle poursuivait des tests similaires auprès d’autres sociétés.
Cette affaire s’ajoute à l’inquiétude croissante des experts en sécurité selon laquelle les outils d’IA rendent plus rapide et moins coûteuse la réalisation de cyberattaques sophistiquées qui nécessitaient autrefois des équipes spécialisées et des mois de travail.
