› État au 10 octobre 2026.Les chercheurs de Hacktron ont combiné une faille de traitement d'image dans libheif avec un dysfonctionnement de connexion SSO pour atteindre, via le forum communautaire, des comptes d'employés d'OpenAI (rapport du 13 septembre 2026).
› Ce cas illustre pourquoi la sécurité d'une authentification unique doit s'évaluer à travers les frontières d'accès réelles plutôt qu'au niveau d'importance attribué à un service isolé.
› Dans notre série sur les cas pratiques en IA, la question centrale est simple : que peut ouvrir une intégration secondaire en dehors de son propre périmètre ?En résuméÉvénement : les chercheurs ont soumis une pull request inoffensive en guise de preuve d'accès, ont interrompu leurs tests et ont signalé le problème.Portée : l'accès a touché des comptes d'employés, bien au-delà du simple forum.Limite : le forum hébergé par Discourse était exclu du programme officiel de bug bounty.Source : Hacktron, 13 septembre 2026.Chronologie des événements25 juillet 2026 - confirmation du correctif par OpenAI ; Hacktron, 13 septembre 2026.28 juillet 2026 - communication de Discourse ; Hacktron, 13 septembre 2026.1er septembre 2026 - versement de la récompense ; Hacktron, 13 septembre 2026.Chiffres clés et interprétationIndicateurValeur et sourceLimite d'interprétationDélai d'exécution selon le rapportMoins de 72 heures ; Hacktron, 13 septembre 2026Il s'agit de la durée globale du parcours, pas d'une mesure standardisée de l'accélération apportée par l'IA.Récompense pour la découverte sur le système d'OpenAIEnviron 5 813 € (6 500 USD) ; Hacktron, 13 septembre 2026 (taux BCE du 12/10/2026 : 1 EUR = 1,1181 USD)Ce versement ne chiffre ni le préjudice potentiel évité ni la rentabilité brute d'une telle attaque.Une pull request (PR) est une proposition de modification de code soumise à révision.
› Dans ce cas précis, elle a servi de preuve de concept pour démontrer l'accès.