L'accès aux joyaux d'OpenAI n'aura coûté que 3 000 dollars et 72 heures. En exploitant les capacités d'Opus 5, trois chercheurs ont compromis les dépôts de code internes du géant de l'IA. © Beata Zawrzel/NurPhoto via Getty Images L'incident, qui s'est déroulé en juillet 2026, et confirmé par OpenAI, est d'une ironie mordante : les modèles de langage concurrents d'OpenAI ont été utilisés pour compromettre son infrastructure. Menée par les chercheurs Harsh Jaiswal, Mohan Pedhapati et Rahul Maini de l'entreprise Hacktron AI, l'attaque, réalisée dans le cadre d'un exercice de recherche de vulnérabilité, repose sur la combinaison de deux vulnérabilités très banales. Les chercheurs ont identifié un dépassement de tampon (heap overflow) dans libheif, une bibliothèque de traitement d'images utilisée par la plateforme Discourse qui héberge le forum communautaire d'OpenAI. Couplée à une mauvaise configuration du système d'authentification unique (SSO) de l'entreprise, cette brèche a permis de transformer un téléversement d'image en une exécution de code à distance (RCE). « Jusqu'à il y a deux mois, tout utilisateur ou employé d'OpenAI se connectant au forum d'aide d'OpenAI (community.openai.com) aurait pu voir ses comptes ChatGPT et Codex piratés », indiquent les chercheurs de Hacktron AI. « Le champ de ce à quoi nous aurions théoriquement pu accéder est énorme », poursuivent-ils. « Nous remercions les chercheurs de nous avoir contactés et d’avoir partagé leurs observations », a indiqué un porte-parole d'OpenAI à l'AFP. L'effondrement du coût de l'attaque : un signal d'alarme pour les DSI Cette attaque illustre l'évolution foudroyante des modèles d'IA. L'équipe de recherche a d'abord échoué à automatiser l'exploit en s'appuyant sur Claude Opus 4.8. Cependant, le jour même de la sortie du nouveau modèle Opus 5 par Anthropic, l'IA est parvenue à contourner les protections (notamment l'ASLR) et à finaliser l'intrusion en seulement trois heures. Au-delà de la prouesse technique, c'est l'économie de cette cyberattaque qui doit alerter les directions informatiques. Historiquement, exploiter des vulnérabilités de corruption de mémoire en contournant des sécurités comme l'ASLR exigeait une expertise rare et des semaines d'ingénierie. Ici, le modèle Opus 5 d'Anthropic a généré l'exploit en quelques heures. L'ensemble de la campagne de recherche, baptisée "HEIF Heist" et ciblant de multiples applications d'entreprise, a coûté moins de 3 000 dollars en jetons d'API (tokens), modifiant le modèle de menace traditionnel des organisations. « L'IA supprime cette protection en transformant une plus grande part de cette expertise rare en puissance de calcul. Un travail qui nécessitait autrefois une équipe dotée de ressources importantes et des mois d'efforts peut désormais être compressé en quelques jours », assure Hacktron AI. Défense : Thales lance HexaForce, l'alternative souveraine et dopée à l'IA face à Palantir Galaxy Book6 Series : 10 raisons de choisir la performance Le guide de la migration écoresponsable vers Windows 11 IA locale : la nouvelle ère de l’Intelligence artificielle ? Revolut, dernier exemple de ces manœuvres malveillantes qui précèdent des rapts crypto La majeure partie des clients de la banque en ligne ciblés résident en Suisse et en France, selon le Financial Times. ZDNET Morning 18/09/2026 : Quand l'IA cache ses erreurs, Déploiement facturation électronique, Innovation cyber Chrome,... Le ZDNET Morning le brief de l'actu tech pour les pros tous les matins à 9h00. Transformation numérique, IA, matériel, logiciels,... ne passez pas à côté de ce qui fait la Une du secteur. PAR GUILLAUME SERRIES | 18 SEPTEMBRE 2026 Des IA d’OpenAI ont appris à cacher leurs erreurs à leurs successeurs OpenAI a divulgué six cas où ses modèles d’IA ont laissé, dans leurs résumés internes, des instructions destinées à leurs successeurs pour dissimuler erreurs et manquements à l’alignement, révélant un lien entre montée en puissance et capacité à tricher. Voici comment Google accélère la stratégie de patch de Chrome pour bloquer les attaques par IA sur votre navigateur Alors que des mises à jour plus fréquentes et plus dynamiques des navigateurs sont en cours de préparation, Google dévoile en exclusivité à ZDNET ses plans de défense. Comment se débarrasser d'un phishing et sécuriser ses comptes Mail, SMS ou faux site imitant PayPal, Amazon ou votre banque : voici comment reconnaître un phishing, le signaler et sécuriser vos comptes. Contrôle parental Google : Family Link suffit-il à sécuriser un téléphone ? Family Link encadre applis, écran et contenu sur Android, mais ne bloque pas tout. Voici ce que le contrôle parental Google protège, et ses limites réelles. Antivirus avec VPN inclus : bonne idée ou fausse bonne affaire ? Norton, Bitdefender, McAfee, Avast ou Surfshark proposent un antivirus avec VPN inclus. Voici ce que ces offres apportent vraiment, et leurs limites. Antivirus Windows : Defender suffit-il pour protéger son ordinateur ? Windows intègre Microsoft Defender par défaut. Suffit-il face aux virus, au phishing et aux ransomwares, ou faut-il un antivirus tiers ? J'ai demandé à Gemini et à Claude de rédiger mes réponses par e-mail. Mais il n'y en a qu'un qui écrit vraiment comme moi Gemini et Claude ont chacun leurs points forts, mais lorsqu'il s'agit d'aide à la rédaction d'e-mails, il n'y a qu'un seul gagnant. PAR CHANDRAVEER MATHUR | 06 SEPTEMBRE 2026 IA pratique : comment débuter avec ChatGPT Work Vous souhaitez en savoir plus sur le fonctionnement du service d’OpenAI chargé de vous assister dans l’exécution de divers tâches sur votre ordinateur ? Découvrez alors comment cette intelligence artificielle « agentique » gère par exemple les recherches, les fichiers et les projets en plusieurs étapes. Ainsi que ses risques et ses limites à travers notamment dix conseils. Claude Code vs Codex : pourquoi j'utilise les deux et comment choisir l'un ou l'autre (si vous y êtes obligé) Les deux sont incroyablement performants, mais les options d'abonnement, les environnements de développement et les avantages cachés de chaque écosystème pourraient faire en sorte que l'un d'entre eux vous convienne mieux personnellement. Retour d’expérience : comment grâce à « Record a skill » de Claude, j'ai réduit mes recherches de plusieurs heures à 30 minutes J'ai utilisé l’outil d’intelligence artificielle Cowork d’Anthropic pour automatiser un flux de travail, et le résultat s'est avéré remarquablement efficace, mais cela a mis en évidence quatre inconvénients majeurs.