Trois chercheurs disent avoir compromis un dépôt interne d'OpenAI avec Claude Opus 5 pour moins de 3 000 dollars

— Résumé

Selon un rapport publié le 13 septembre 2026 par Hacktron, une équipe de trois chercheurs affirme avoir compromis, le 25 juillet, le dépôt interne d'OpenAI. L'intrusion aurait exploité un dépassement de tampon dans la bibliothèque libheif, révélé via le forum Discourse de l'entreprise, combiné à un défaut de l'authentification unique, permettant la prise de contrôle de comptes ChatGPT et Codex d'employés et l'ouverture d'une demande de fusion sur le dépôt. Le modèle Claude Opus 4.8 n'aurait pas réussi à produire un exploit fiable, contrairement à Opus 5, publié le même soir, qui y serait parvenu en quelques heures. La campagne, étendue selon le rapport à Slack, Meta et GitHub Enterprise, aurait coûté moins de 3 000 dollars de tokens sur deux mois. Les deux failles évoquées ont depuis été corrigées.