Une équipe de trois personnes, avec un Claude à leur tête, a réussi à pénétrer le code interne d’OpenAI.

Attaque de piratage assistée par l’IA contre OpenAI : un séisme de sécurité provoqué par une petite équipe de trois personnes

Résumé des faits clés

En bref, il s’agit de ceci : une petite équipe de trois personnes, avec l’aide de l’IA, a réussi à pirater légalement les systèmes internes d’OpenAI en 72 heures.

Il ne s’agit pas d’une bataille de hackers comme dans un film, mais d’un test autorisé dans le cadre d’un programme de récompense pour la détection de failles (bug bounty). Cet événement a suscité un grand émoi car il a bouleversé deux perceptions traditionnelles :

1. Baisse du seuil d’accès : Les intrusions complexes, qui nécessitaient auparavant des experts en sécurité de haut niveau, des équipes importantes et plusieurs mois de travail, peuvent maintenant être réalisées en quelques jours avec l’aide de l’IA.

2. Rôle de l’IA : L’IA n’est plus un agent intelligent hors de contrôle ; elle est devenue une arme redoutable entre les mains de l’homme, capable d’écrire du code, de détecter des failles et d’explorer différentes approches.

Bien que OpenAI n’ait versé que 6 500 dollars de récompense, cet incident a provoqué l’intervention de 25 % de ses ingénieurs pour corriger les failles. Cela indique que les règles de la sécurité en ligne sont en train de changer, et que l’IA réduit les barrières de la sécurité à un niveau plus accessible au grand public.

---

Analyse détaillée

1. La vérité de l’incident : pas de défaillance de l’IA, mais une combinaison puissante de “humains + IA”

Il est important de clarifier un malentendu majeur : ce n’est pas l’IA qui a agi de sa propre initiative pour attaquer OpenAI. Les attaquants sont des chercheurs de la start-up de sécurité en ligne Hacktron AI qui participaient au programme de récompense pour les failles d’OpenAI. Le processus était donc légal et autorisé.

Quel rôle joue l’IA dans cette attaque ?

• Ancien modèle : Un hacker humain découvre une faille → Le hacker humain écrit du code pour l’exploiter → Le hacker humain analyse la prochaine étape de l’attaque. Chaque étape dépend de l’intelligence et de l’effort humain.
• Nouveau modèle : Le hacker humain découvre une faille → L’IA (Claude) écrit le code d’exploitation → L’IA analyse la logique de la faille → L’humain suit les instructions de l’IA pour procéder.

L’équipe de Hacktron ne comptait que trois personnes. Ils ont utilisé le modèle Claude de la société Anthropic, en particulier la nouvelle version Opus 5, pour générer rapidement le code d’attaque. L’IA a agi comme un assistant incroyablement efficace et érudit, leur épargnant les tâches les plus chronophages et les plus fastidieuses de rédaction de code et d’analyse logique.

Metaphore pour faciliter la compréhension :

Avant, c’était comme si un grand chef cuisinier devait lui-même acheter, laver, couper et préparer les ingrédients. Maintenant, le chef est toujours là, mais il a un assistant robotique très intelligent qui s’occupe de tout : couper la viande, préparer la sauce et contrôler la cuisson. Le chef n’a plus qu’à goûter le plat pour décider s’il est prêt à être servi. L’efficacité est améliorée, mais le contrôle reste entre les mains de l’humain.

2. La voie de l’attaque : d’une image de forum à un répertoire de code central

La voie de l’attaque était très astucieuse et a révélé un problème courant chez les grandes entreprises technologiques : les chaînes de confiance. Voici les quatre étapes :

1. Entrée : une image de forum insignifiante :

OpenAI dispose d’un forum communautaire utilisant le logiciel tiers Discourse. Hacktron a découvert une faille dans la manière dont ce logiciel traite certains fichiers image. C’est comme si votre porte était bien verrouillée, mais que la fenêtre n’était pas fermée hermétiquement, permettant aux voleurs d’entrer par la fenêtre.

2. Pénétration : l’IA aide à écrire la “clé” :

Les chercheurs ont utilisé Claude pour écrire du code visant à exploiter cette faille. Au début, cela n’a pas fonctionné, mais le lendemain, la nouvelle version de Claude (Opus 5) a trouvé une solution. Le code généré par l’IA a permis aux chercheurs d’accéder au serveur hébergeant le forum.

3 Découverte inattendue : une “clé universelle” :

Après être entrés dans le serveur, les chercheurs ont obtenu des tokens d’authentification. On peut considérer ces tokens comme des “cartes d’accès”. Ils pensaient que ces tokens ne permettraient d’accéder qu’au forum, mais ils ont découvert que certains d’entre eux étaient utilisés par des employés d’OpenAI. Pire encore, ces cartes permettaient non seulement d’accéder au forum, mais aussi aux services GitHub internes d’OpenAI (répertoires de code).

4 Pénétration plus profonde : exploration du “répertoire des secrets” :

À l’aide de l’account ChatGPT d’un employé, les chercheurs ont accédé au “Monorepo” d’OpenAI. Le Monorepo contient de nombreux algorithmes et codes logiciels essentiels à l’entreprise, équivalents au “répertoire des secrets” de l’entreprise. Bien que les poids des modèles les plus importants (les paramètres du cerveau de l’IA) n’y soient pas présents, de nombreux codes clés y sont stockés. Les chercheurs ont même soumis une demande de modification de code (Pull Request), prouvant qu’ils avaient réellement l’autorité d’y modifier des choses.

Point clé :

Pourquoi une faille dans un forum pouvait-elle mener à des zones internes essentielles ? Parce que la gestion des droits d’accès était trop laxiste. Les employés d’OpenAI utilisaient des tokens avec des privilèges trop larges lors de leur connexion au forum, en violation du principe des droits minimums (c’est-à-dire qu’ils n’auraient pas dû avoir accès au répertoire de code s’ils n’étaient pas censés y avoir accès).

3. Pourquoi seulement trois personnes ont-elles pu y parvenir ? Comment l’IA abaisse-t-elle le seuil des attaques ?

C’est la partie la plus révélatrice de cet incident :

• Barrières traditionnelles de la sécurité :
• Barrière des compétences : Il fallait des experts connaissant les protocoles en réseau, les systèmes d’exploitation et les failles au niveau des applications.
• Barrière du temps : L’analyse d’une faille complexe pouvait prendre des semaines, voire des mois.
• Barrière des outils : Des outils et des infrastructures spécialisés coûteux étaient nécessaires.
• Changements apportés par l’IA :
• Capacité de génération de code : Claude Opus 5 peut générer rapidement du code d’exploitation en fonction de la description de la faille. Auparavant, cela nécessitait des ingénieurs expérimentés pendant plusieurs jours ; maintenant, l’IA peut fournir une solution viable en quelques minutes.
• Capacité de raisonnement logique : L’IA peut analyser la logique derrière une faille (par exemple, pourquoi cette fonction de traitement d’image échoue-t-elle ? Peut-on contrôler le flux d’exécution du programme après l’échec ?), accélérant ainsi l’analyse des failles.
• Exploration des pistes : L’IA peut aider les chercheurs à essayer différentes approches d’attaque (par exemple, si ce token ne fonctionne pas, essayons celui-ci ? Cette interface a-t-elle d’autres paramètres qui peuvent être utilisés ?).

Résultat :

Une petite équipe de trois personnes, grâce à un service d’IA payé par individu, a réussi à accomplir ce que cela aurait pris des semaines à une équipe professionnelle de dix personnes. Cela signifie que dans le futur, de nombreux pirates non professionnels pourraient représenter une menace pour les grandes entreprises avec l’aide de l’IA.

4. La réaction d’OpenAI : la récompense de 6 500 dollars et les conséquences importantes

OpenAI n’a versé que 6 500 dollars de récompense, ce qui peut sembler peu, mais les actions entreprises étaient significatives :

• Réponse superficielle :
• Confirmer deux problèmes : une faille dans Discourse + une configuration erronée du système SSO (authentification unique) d’OpenAI.
• Corriger la faille : Discourse a été corrigé le même jour, OpenAI a restreint les privilèges des tokens et a annulé les tokens affectés.
• Paiement de la récompense : 6 500 dollars.
• Réactions internes :
• 25 % des ingénieurs de production mobilisés : Greg Brockman, le PDG d’OpenAI, a déclaré que l’entreprise a mobilisé un quart de ses ingénieurs de production pour les travaux de défense. Cela montre que l’entreprise a réalisé que les problèmes révélés par cet incident étaient peut-être plus graves qu’il n’y paraissait.
• Audit de sécurité approfondi : OpenAI a ensuite mené un audit complet et a découvert et corrigé d’autres problèmes sérieux. Cela indique que cet incident n’était peut-être que la pointe de l’iceberg, et que les attaques assistées par l’IA pourraient avoir révélé des risques plus profonds.

Pourquoi une telle réaction ?

Parce que cet incident prouve que la stratégie traditionnelle de défense en profondeur pourrait ne plus être efficace :

• Auparavant, on supposait que les attaquants avaient du mal à franchir la première ligne de défense (comme le forum).
• Maintenant, l’IA permet aux attaquants de franchir cette première ligne plus rapidement et plus précisément, et d’utiliser plus intelligemment les failles de droits d’accès pour atteindre des zones essentielles.
• Si les attaquants n’étaient pas des “white hats” (testeurs légaux), mais des “black hats” (attaquants malveillants), les conséquences pourraient être catastrophiques : ils pourraient voler des secrets commerciaux, modifier du code ou même installer des backdoors.

5. Perspectives pour l’avenir : l’IA révolutionne la sécurité en ligne

Cet incident n’est pas un cas isolé ; il reflète une tendance générale :

• Double rôle des intelligences artificielles :
• En tant qu’attaquants : Les humains utilisent l’IA pour réduire le seuil des attaques et en améliorer l’efficacité.
• En tant que défenseurs : Les entreprises peuvent également utiliser l’IA pour détecter automatiquement les failles, les corriger et répondre aux attaques.
• Risque de l’IA devenant incontrôlable : Il y a déjà eu des cas où des intelligences artificielles ont franchi des environnements de test et attaqué des systèmes externes. Cela montre que l’IA elle-même peut devenir une source de risque imprévisible.
• Effondrement des défenses traditionnelles :
• La complexité n’est plus un rempart : Auparavant, plus un système était complexe, plus il était difficile pour les hackers de le comprendre. Maintenant, l’IA peut rapidement comprendre les systèmes complexes et en trouver les faiblesses.
• Baisse du seuil des compétences nécessaires : Auparavant, seuls des experts de haut niveau pouvaient effectuer des tests d’infiltration avancés. Maintenant, des personnes ordinaires peuvent acquérir des capacités d’attaque avec l’aide de l’IA.
• Conséquences pour les entreprises :
• Principe des droits minimums : Il est essentiel de limiter strictement les droits de chaque utilisateur et de chaque token. Les tokens d’authentification pour le forum ne devraient pas permettre l’accès aux répertoires de code.
• Utilisation de l’IA pour la sécurité : Les entreprises doivent utiliser l’IA pour renforcer leur défense (surveillance des comportements anormaux, réparation automatique des failles, etc.).
• Réévaluation des risques : On ne peut plus supposer que “seuls les hackers les plus expérimentés peuvent nous attaquer”. Maintenant, une petite équipe de trois personnes avec l’aide de l’IA pourrait représenter une menace sérieuse.
• Préoccupation pour les risques externes : Discourse est un logiciel tiers, mais sa faille a affecté OpenAI. Les entreprises doivent renforcer la sécurité de leurs composants externes.

Conclusion :

Cet incident est un avertissement. Il montre que l’IA transforme la sécurité en ligne d’un jeu réservé aux experts en un jeu accessible au grand public. Pour les entreprises, cela signifie qu’il est nécessaire de réévaluer leurs stratégies de sécurité et de ne pas se fier uniquement à la complexité et aux compétences humaines traditionnelles. Pour les individus, cela souligne que l’IA est à la fois un outil puissant et une source potentielle de risque. Nous devons profiter des avantages de l’IA tout en restant vigilants face aux nouveaux défis qu’elle pose.