sécurité

Des chercheurs ont utilisé Claude pour pirater les comptes ChatGPT d'employés d'OpenAI

Les exploits agentiques l'emportent (encore)

On peut dire que le concurrent a réussi à franchir la porte. Des chercheurs en sécurité ont utilisé Claude d'Anthropic pour aider à pirater les comptes ChatGPT d'employés d'OpenAI.

Un trio de chasseurs de primes (bug hunters) effectuant des recherches sur les faiblesses de sécurité des laboratoires d'IA de pointe a enchaîné deux vulnérabilités pour prendre le contrôle de plusieurs comptes ChatGPT d'employés d'OpenAI, puis a utilisé cet accès pour démontrer qu'ils pouvaient atteindre un dépôt interne d'OpenAI en ouvrant une pull request inoffensive.

L'ensemble du processus, de la découverte initiale à l'accès au dépôt d'OpenAI, a pris moins de 72 heures et a rapporté aux chercheurs une récompense de 6 500 $ via le programme de bug bounty d'OpenAI sur Bugcrowd.

« Jusqu'à il y a deux mois, tout utilisateur ou employé d'OpenAI se connectant au propre forum d'aide d'OpenAI (community.openai.com) aurait pu voir ses comptes ChatGPT et Codex piratés », ont déclaré les chercheurs de Hacktron, Harsh Jaiswal, Mohan Pedhapati et Rahul Maini dans un compte rendu de leurs recherches. « Étant donné que les gens peuvent connecter divers services à Codex et ChatGPT, l'étendue de ce que nous pouvions théoriquement accéder était immense, incluant GitHub, Slack et les e-mails. »