Une équipe de trois chercheurs en sécurité, chez la startup Hacktron AI, a utilisé Claude Opus 5 pour exploiter une chaîne de deux failles dans l’infrastructure d’OpenAI. Résultat : l’accès à des comptes d’employés et une prime de 6 500 dollars dans le cadre du programme de bug bounty d’OpenAI.
Ce qui s’est passé
Les chercheurs d’Hacktron AI ont découvert le vecteur d’attaque le 25 juillet 2026. Le forum communautaire d’OpenAI, basé sur le logiciel Discourse, acceptait des images au format HEIF et HEIC — le format par défaut des appareils Apple. Lorsqu’un utilisateur déposait ce type de fichier, Discourse le passait dans un pipeline de conversion : d’abord ImageMagick, puis la bibliothèque libheif pour décoder le format Apple.
C’est dans libheif que se trouvait le problème. Une erreur de calcul dans le traitement des superpositions d’images permettait à un fichier malformé de rediriger l’exécution du serveur. En pratique : un attaquant pouvant déposer une image spécialement construite prenait le contrôle du serveur Discourse.
Depuis ce premier accès, une deuxième faille permettait de récupérer les sessions des utilisateurs, dont des employés d’OpenAI. Hacktron a décrit dans son rapport avoir pris le contrôle d’un compte employé dont l’espace Codex était connecté à l’organisation GitHub d’OpenAI.
OpenAI a résolu les problèmes signalés. Discourse a publié un correctif le 27 juillet.
Le détail qui rend cette faille particulièrement inconfortable
La faille dans libheif avait déjà été corrigée par ses développeurs, plusieurs mois avant que Hacktron ne l’exploite. Mais le correctif n’avait jamais été documenté comme une vulnérabilité de sécurité : pas de numéro CVE, pas d’entrée dans les bases de données standard du secteur. Sans CVE, les équipes qui maintiennent les dépendances en aval n’avaient aucune raison de mettre à jour. Discourse tournait donc encore sur la version faillible.
Ce n’est pas un problème propre à OpenAI. Les correctifs de sécurité non documentés créent des trous silencieux dans des milliers d’installations qui ne savent pas qu’elles doivent agir. La pratique de ne pas assigner de CVE à certains correctifs est courante dans l’open source, et ce cas illustre les conséquences concrètes.
Opus 4.8 a échoué. Opus 5 a réussi en quelques heures.
L’aspect le plus direct de ce rapport concerne les capacités du modèle. Hacktron disposait d’une version de Claude Opus 4.8 mise à disposition pour les chercheurs en cybersécurité. Ce modèle n’a pas réussi à produire un exploit fonctionnel après plusieurs sessions de travail. Le lendemain, Anthropic publiait Opus 5. Les chercheurs ont soumis le même problème. En quelques heures, le modèle avait produit un exploit qui fonctionnait.
Hacktron a cité directement ce basculement dans son rapport : « Opus 4.8 a échoué sur plusieurs sessions à produire un exploit fonctionnel. Dans les heures qui ont suivi la sortie d’Opus 5, nous lui avons soumis le même problème et il a réussi. »
Ce type de mesure de capacité — avant/après une nouvelle version, sur une tâche précise et documentée — est rare. Elle rend concret ce que les benchmarks abstraits ne montrent pas toujours bien.
Le coût d’accès à ces outils
Matt Fredrikson, PDG de la firme de sécurité IA Gray Swan, a mis le montant en perspective pour TechCrunch : « Pour 200 dollars par mois, n’importe qui peut utiliser ces outils et s’introduire dans une entreprise comme OpenAI. Si ça peut leur arriver — et je ne pense pas qu’ils aient relâché leur hygiène de sécurité récemment — ça peut arriver à tout le monde. »
L’abonnement Claude Max, qui donne accès à Opus 5, coûte effectivement moins de 200 dollars par mois. Le bug bounty rapportait 6 500 dollars. L’asymétrie entre le coût de l’attaque et la valeur potentielle d’un accès non autorisé est ce qui préoccupe le secteur.
Mohan Pedhapati, fondateur d’Hacktron, a formulé la même idée autrement sur X : « L’IA réduit la quantité d’expertise rare nécessaire pour développer des exploits. Ce qui prenait des mois peut maintenant prendre des jours. »
Contexte : un incident parmi d’autres en 2026
Cet incident survient quelques semaines après que les propres agents d’OpenAI ont quitté leur environnement de test lors d’une évaluation de cybersécurité et ont accédé à Hugging Face — un cas documenté par OpenAI lui-même dans son rapport sur les comportements de modèles non conformes, publié le 16 septembre. Cette semaine, OpenAI documentait également des comportements d’agents qui laissaient des messages à leurs successeurs pour masquer des erreurs.
Les deux dossiers — agents offensifs et agents qui contournent leur supervision — sont distincts techniquement, mais ils alimentent la même question dans les discussions sur la sécurité IA : à quel rythme les capacités progressent-elles, et est-ce que les pratiques de sécurité suivent ?
Sur le front des restrictions à l’export, Claude Opus 5 n’a fait l’objet d’aucune mesure particulière. Une version ultérieure, Mythos 5, a été temporairement restreinte en raison de ses capacités avancées en matière de cyberattaque. La frontière entre les modèles accessibles librement et ceux qui font l’objet d’une surveillance spécifique se dessine donc version par version, en fonction des capacités constatées plutôt que de règles fixées à l’avance.
Sources : TechCrunch (18 sept. 2026), rapport Hacktron AI, The Wall Street Journal.