Imaginez un monde o\u00f9 l’IA ne prot\u00e8ge plus les entreprises, mais les attaque. C’est pr\u00e9cis\u00e9ment ce qui s’est produit en juillet 2026, lorsque l’\u00e9quipe de Hacktron a d\u00e9montr\u00e9 comment un simple bug dans une biblioth\u00e8que de traitement d’images pouvait devenir une porte d’entr\u00e9e vers les d\u00e9p\u00f4ts de code internes d’OpenAI. Et ce, gr\u00e2ce \u00e0 l’aide inattendue de Claude Opus 5, un mod\u00e8le d’IA capable de g\u00e9n\u00e9rer des exploits en quelques heures.<\/p>\n
L’incident a d\u00e9but\u00e9 sur un forum d’aide d’OpenAI, h\u00e9berg\u00e9 sur Discourse. Les utilisateurs pouvaient y uploader des images HEIC, un format populaire chez les iPhone. Le probl\u00e8me ? Discourse ne v\u00e9rifiait pas ces images directement. Il confiait la t\u00e2che \u00e0 ImageMagick, qui utilisait une biblioth\u00e8que tierce appel\u00e9e libheif. Et c’est ici que les choses se sont encha\u00een\u00e9es. Une vuln\u00e9rabilit\u00e9 non corrig\u00e9e dans cette biblioth\u00e8que permettait l’ex\u00e9cution de code arbitraire via une image malveillante. Hacktron a utilis\u00e9 cette faille pour p\u00e9n\u00e9trer dans le syst\u00e8me.<\/p>\n
Mais ce n’est pas tout. Le v\u00e9ritable tour de force a r\u00e9sid\u00e9 dans l’utilisation de Claude Opus 5. Alors que la version pr\u00e9c\u00e9dente, Opus 4.8, peinait \u00e0 contourner les protections m\u00e9moire du serveur cibl\u00e9, la nouvelle version a r\u00e9ussi \u00e0 g\u00e9n\u00e9rer un exploit fonctionnel en quelques heures. Les chercheurs ont d\u00fb tromper le mod\u00e8le en faisant passer leur serveur de test pour une cible de capture-the-flag, un exercice l\u00e9gitime de s\u00e9curit\u00e9. Le r\u00e9sultat ? Un acc\u00e8s aux comptes d’employ\u00e9s et une d\u00e9monstration d’une modification de code anodine dans les d\u00e9p\u00f4ts internes d’OpenAI.<\/p>\n
OpenAI a r\u00e9agi rapidement, corrigeant la vuln\u00e9rabilit\u00e9 d\u00e8s le 25 juillet apr\u00e8s avoir re\u00e7u le rapport. Discourse a suivi quelques jours plus tard, publiant un correctif le 27 juillet accompagn\u00e9 d’un syst\u00e8me de sandbox pour isoler le traitement des images. Cet incident, survenu deux semaines apr\u00e8s une intrusion similaire chez Hugging Face, soul\u00e8ve des questions troublantes sur la s\u00e9curit\u00e9 des syst\u00e8mes d\u00e9pendant de l’IA. Si les mod\u00e8les d’IA comme Claude Opus 5 deviennent des outils de cybers\u00e9curit\u00e9, ne risquent-ils pas aussi d’\u00eatre des armes contre ceux qu’ils sont cens\u00e9s prot\u00e9ger ?<\/p>\n