Des chercheurs ont utilisé Claude d’Anthropic pour pirater OpenAI
techcrunch ·
Une équipe de sécurité de trois personnes de Hacktron AI a utilisé Claude d’Anthropic dans le cadre du programme de chasse aux bugs d’OpenAI pour enchaîner deux vulnérabilités critiques et accéder à plusieurs comptes ChatGPT d’employés d’OpenAI. OpenAI a accordé 6 500 dollars à Hacktron et a déclaré avoir résolu les problèmes, tandis que Discourse a publié séparément un correctif le 27 juillet. Les chercheurs ont trouvé leur point d’entrée initial le 25 juillet dans Discourse, le logiciel qui alimente le forum communautaire d’OpenAI, en téléversant une image HEIF ou HEIC spécialement conçue. Lors de la conversion de l’image, un bug de mémoire dans la bibliothèque libheif a permis à celle-ci de prendre le contrôle du serveur, bien que le bug aurait été corrigé plusieurs mois auparavant sans avoir reçu de désignation CVE officielle. Après être entrée sur le serveur Discourse, l’équipe a exploité une autre faille pour prendre le contrôle de comptes ChatGPT et Codex, dont celui d’un employé d’OpenAI connecté à l’organisation GitHub de l’entreprise. Claude Opus 4.8 n’a d’abord pas réussi à produire un exploit fonctionnel, mais Opus 5 y est parvenu dans les heures suivant sa sortie. L’incident met en évidence la capacité croissante des outils d’IA largement accessibles à découvrir et à exploiter des vulnérabilités, tout en réduisant l’expertise spécialisée nécessaire pour mener des cyberattaques.
techcrunch