/// Signal

Un fichier image a suffi à entrer dans OpenAI — la faille était corrigée depuis mai, personne ne l'avait déployée

Le fait : Le 25 juillet 2026, trois chercheurs de Hacktron AI ont atteint des comptes employés d'OpenAI puis son dépôt de code interne, avec un fichier image malformé comme point d'entrée — et l'affaire n'a été révélée au public que le 18 septembre. La faille d'image, CVE-2026-32882, était publique depuis le 19 mai et corrigée dans libheif 1.22.0 : OpenAI a colmaté en 14 heures et payé 6 500 $.

Le délai, d'abord. De la découverte au dépôt de code interne : moins de 72 heures. Avant les agents IA, ce genre de chaîne se comptait en semaines, parfois en mois. Deux mois de travail, trois chercheurs, moins de 3 000 $ de tokens en tout — et l'agent adaptait l'exploit à chaque entreprise en un à deux jours.

Le périmètre, ensuite. Selon les chercheurs, libheif se retrouve dans Slack, Zoom, Meta, GitHub Enterprise, Rails et Discourse, avec sa cousine libde265 pour la vidéo. On est très loin du seul forum d'OpenAI. Le défaut n'est pas dans un produit : il est dans une brique que tout le monde installe sans y penser.

La cause, enfin, et elle est humiliante. Ligne 1835 du fichier pixelimage.cc, le code lit l'octet de transparence avec la largeur de ligne des canaux couleur — in_stride au lieu d'alpha_stride. Une variable au lieu d'une autre, et jusqu'à 3 123 octets lus au-delà du tampon alloué. C'est une lecture hors limites, pas un débordement : elle ne livre pas de code exécutable, elle fait fuiter la mémoire. Ce qui suffit à casser l'ASLR, le rempart qui protégeait tout le reste. L'avis de Discourse, lui, ne prend pas de gants et la classe en « RCE via malformed HEIF file ».

Ce qu'il faut nuancer. « Claude a piraté OpenAI » est faux, et deux fois. C'était une recherche autorisée, menée dans le programme de bug bounty d'OpenAI, avec une version de Claude réservée aux praticiens de cybersécurité agréés. Ils ont aussi utilisé GPT-5.6 Sol, un modèle d'OpenAI. Le récit viral se retourne contre lui-même.

Ce n'est pas une attaque facile non plus. Il faut identifier la version exacte de la cible et fabriquer des images sur mesure : les chercheurs reconnaissent que certains essais n'ont abouti qu'après des milliers d'uploads. Et la chaîne comptait deux maillons, pas un — après l'image, une mauvaise configuration du SSO d'OpenAI, avec des jetons de connexion trop permissifs. C'est elle qui a transformé l'accès au forum en prise de contrôle de comptes ChatGPT et Codex. OpenAI a restreint ces permissions et révoqué les sessions touchées. La fenêtre est fermée ; la question qu'elle a ouverte, non.

Notre lecture. Le récit viral est du bruit, le signal c'est le patch management. Test du retour à la moyenne : dans six mois, se souviendra-t-on d'un piratage autorisé d'OpenAI ? Non. Y aura-t-il encore des bibliothèques connues-vulnérables en production ? Oui. Et le détail qui fait mal vient des chercheurs eux-mêmes : « Nous ne connaissons aucune entreprise qui a détecté l'activité, sauf Shopify. » Des milliers d'images envoyées, des processeurs d'images qui plantaient en boucle. Shopify a vu parce que quelque chose plantait, et que quelqu'un lisait.

Concrètement : si vous hébergez un forum Discourse, l'avis officiel donne la marche à suivre — ./launcher rebuild app. Sur un serveur Debian ou Ubuntu : dpkg -l | grep libheif, et on compare à 1.22.0. Pour tout le reste (votre site, votre newsletter, votre CMS, ce que vos lecteurs vous envoient en HEIC), la question tient en une phrase, à poser à votre hébergeur ou à votre prestataire : quelle version de libheif tourne, et depuis quand ? Presque personne ne la pose.