« On July 25, we hacked OpenAI » : deux bugs, 72 heures, un PR interne
Le chercheur s1r1us annonce avoir pris le contrôle de comptes ChatGPT et Codex d'employés d'OpenAI, et l'avoir prouvé en poussant une pull request dans le code interne.
En bref
Le chercheur en sécurité s1r1us annonce avoir enchaîné deux vulnérabilités permettant de prendre le contrôle de comptes ChatGPT/Codex, dont ceux d'employés d'OpenAI, et d'atteindre les services connectés : Outlook, Slack, GitHub. La preuve apportée est une pull request déposée dans la codebase interne d'OpenAI, obtenue en moins de 72 heures. L'épisode illustre le nouveau point faible des assistants IA : ce ne sont plus des chatbots, ce sont des comptes reliés à toute l'infrastructure d'une entreprise.
🍺 Version comptoir
Deux failles, trois jours, et des chercheurs se retrouvent à pousser du code dans le dépôt interne d'OpenAI. Le détail qui pique, ce n'est pas le compte ChatGPT en soi : c'est que ce compte tient les clés d'Outlook, de Slack et de GitHub, comme un trousseau qu'on aurait généreusement scotché sur la porte d'entrée. On a passé deux ans à demander aux assistants IA de se connecter à tout, et on découvre avec émotion que « connecté à tout » signifie aussi « compromis partout ». Quand l'agent a les droits d'un collègue, le voler revient à embaucher un intrus avec un badge.
À retenir
- 1
s1r1us annonce publiquement avoir compromis des comptes ChatGPT et Codex le 25 juillet, dont ceux d'employés d'OpenAI et de quelques utilisateurs non affiliés.
- 2
Deux vulnérabilités enchaînées suffisaient à réaliser une prise de contrôle de compte (account takeover).
- 3
La compromission ne s'arrêtait pas à ChatGPT : elle donnait accès aux services connectés, Outlook, Slack et GitHub étant cités.
- 4
La preuve d'impact est une pull request déposée dans la codebase interne d'OpenAI.
- 5
L'ensemble de la chaîne d'exploitation aurait pris moins de 72 heures.
- 6
Le thread est publié après coup, ce qui suggère une divulgation coordonnée avec correctif, même si le tweet d'ouverture ne le précise pas.
Ce que dit l'annonce
Le message d'ouverture du thread est net : « On July 25, we hacked OpenAI. » Deux bugs, exploités en chaîne, auraient permis de prendre le contrôle de comptes ChatGPT et Codex appartenant à des employés d'OpenAI, ainsi qu'à quelques utilisateurs sans lien avec l'entreprise.
La portée annoncée dépasse le produit lui-même. Une fois le compte pris, les chercheurs disent avoir atteint les services qui y sont raccordés : Outlook, Slack, GitHub, la liste étant explicitement laissée ouverte par un « etc. ».
La démonstration finale est la partie la plus parlante pour un ingénieur : une pull request déposée dans la codebase interne d'OpenAI. Ce n'est plus un screenshot de session volée, c'est une action écrite dans le système de production d'une entreprise. Le tout en moins de 72 heures.
Pourquoi un compte Codex n'est pas un compte comme les autres
Un compte ChatGPT classique donne accès à un historique de conversations, ce qui est déjà sensible. Un compte Codex, lui, est un compte de développement : il est branché sur des dépôts de code, il exécute des tâches, il produit des commits.
La différence est fondamentale en termes de modèle de menace. Voler une session de chatbot, c'est de l'exfiltration de données. Voler une session d'agent de code, c'est obtenir une capacité d'action à l'intérieur du périmètre de l'entreprise, avec les droits d'un salarié.
C'est exactement ce que matérialise la pull request citée dans le thread. La question n'est plus « qu'est-ce que l'attaquant a pu lire », mais « qu'est-ce que l'attaquant a pu écrire ».
Le vrai coupable : la surface des connecteurs
Depuis deux ans, l'industrie pousse l'assistant IA au centre du poste de travail. On lui branche la messagerie, le chat interne, le gestionnaire de code, le drive, le CRM. Chaque connecteur est un jeton d'accès de plus stocké derrière une seule identité.
Cette architecture concentre le risque de façon spectaculaire. Le compte de l'assistant devient un point de convergence d'autorisations qui, historiquement, étaient cloisonnées entre plusieurs outils et plusieurs procédures d'authentification.
L'annonce de s1r1us donne un cas concret à cette inquiétude théorique : deux bugs applicatifs, et la chaîne se propage de l'assistant jusqu'à Outlook, Slack et GitHub. La sécurité de l'ensemble se ramène à la sécurité du maillon d'authentification le plus faible.
Ce que le tweet ne dit pas
Le message d'ouverture ne détaille pas la nature technique des deux vulnérabilités, ni le vecteur initial exact, ni le nombre précis de comptes touchés. Il ne mentionne pas non plus de réponse officielle d'OpenAI, ni de montant de bug bounty.
Le fait que la publication intervienne bien après le 25 juillet est l'indice habituel d'une divulgation responsable : les chercheurs signalent, l'éditeur corrige, le thread sort ensuite. Mais tant qu'aucune confirmation publique n'est jointe, cela reste une lecture probable et non un fait établi par la source.
À ce stade, il faut donc traiter l'annonce pour ce qu'elle est : le récit de première main d'une équipe de chercheurs, avec une preuve d'impact forte et des détails techniques renvoyés à la suite du thread.
“On July 25, we hacked OpenAI.”
“We proved it with a PR in OpenAI's internal codebase. It took us <72h.”
Pourquoi ça compte
Le secteur discute depuis des mois des risques « IA » de façon abstraite : prompt injection, hallucinations, alignement. Cet épisode ramène le sujet à une réalité beaucoup plus banale et beaucoup plus dangereuse : la sécurité applicative classique. Deux bugs d'authentification suffisent à transformer un assistant en porte d'entrée vers la messagerie, le chat interne et le code source d'une des entreprises les plus scrutées du monde. Le point critique n'est pas le modèle, c'est le périmètre d'autorisations qu'on lui a confié. Tant que les agents cumuleront les accès d'un employé sans en subir les contrôles (revue d'accès, MFA sur chaque service, cloisonnement), chaque faille d'authentification sur l'assistant sera mécaniquement une faille sur toute l'entreprise. Pour les DSI qui déploient Codex, Copilot ou équivalent en interne, la leçon est directe : auditer les connecteurs avant d'auditer les prompts.
À lire aussi
IAAujourd'huiGPT-6 Astra : OpenAI franchit le seuil « Critical » en cybersécurité
La system card du nouveau modèle d'OpenAI acte un franchissement inédit — et admet, noir sur blanc, qu'un modèle qui voudrait tricher aux évaluations passerait probablement entre les mailles.
DevAujourd'huiClaude Code : le changelog le plus dense de l'industrie
Des centaines de versions, des milliers de correctifs : le journal de bord d'Anthropic raconte comment on industrialise un agent de code.
IAAujourd'huiAnthropic ouvre ses portes à des évaluateurs internes payés 1 milliard
Accenture va installer des auditeurs de sécurité à l'intérieur d'Anthropic, avec un accès comparable à celui d'un salarié — et facturé au laboratoire lui-même.