OpenAI colmate une faille qui exposait ChatGPT sur Mac

OpenAI a corrigé une vulnérabilité de l’application ChatGPT pour macOS, reconnue publiquement le 25 septembre dans son journal des changements. La faille pouvait permettre à un attaquant de prendre le contrôle de ChatGPT sur l’ordinateur d’une victime. Elle donnait potentiellement accès aux conversations enregistrées et à d’autres données stockées par l’application. Elle pouvait aussi permettre des interactions avec des éléments connectés, notamment des sessions de navigateur. L’exploitation nécessitait toutefois qu’un logiciel malveillant soit déjà installé sur la machine ciblée. OpenAI a déclaré poursuivre l’évolution de ses pratiques de sécurité, tout en reconnaissant devoir accélérer ses efforts. Voir le journal des changements d’OpenAI.

Les chercheurs d’Objective-See ont identifié la vulnérabilité dans les échanges entre plusieurs composants de l’application macOS. Ces composants vérifient leurs signatures numériques afin de confirmer qu’ils appartiennent bien à OpenAI. Le système effectue ces contrôles à trois niveaux de distance par rapport à la demande initiale. Cette architecture vise à empêcher un logiciel malveillant de détourner un composant légitime comme intermédiaire. Les chercheurs ont toutefois trouvé un interpréteur de scripts considéré comme fiable. Celui-ci acceptait un script non fiable, puis pouvait transmettre des commandes au processus principal de ChatGPT. Patrick Wardle, analyste logiciel d’Objective-See, a décrit cette faiblesse comme extrêmement simple à exploiter.

ChatGPT pouvait exécuter des commandes

Une preuve de concept développée par Wardle nécessitait environ une douzaine de lignes de code. Le script malveillant lançait trois fois l’interpréteur de scripts avant d’effectuer sa demande. Cette séquence lui permettait de satisfaire les contrôles portant sur le processus parent et le processus grand-parent. ChatGPT pouvait alors recevoir la demande comme une instruction légitime provenant d’un composant d’OpenAI. Selon Wardle, l’exploitation pouvait servir à consulter les journaux de conversations. Elle pouvait également faire exécuter des commandes à ChatGPT pour accéder à un navigateur ou à d’autres applications sensibles. L’attaquant devait toujours disposer d’un logiciel malveillant déjà présent sur l’ordinateur.

L’accès système des agents constitue le point central soulevé par Wardle. Il compare ces logiciels à un gestionnaire d’immeuble possédant les clés de nombreuses pièces. Selon lui, une compromission peut permettre à un code non privilégié d’atteindre plusieurs ressources. Cette capacité d’accès est liée au fonctionnement des agents et des assistants intégrés. L’application ChatGPT pour macOS associait ainsi plusieurs processus et contrôles de confiance. La vulnérabilité montrait toutefois qu’un composant accepté pouvait servir à contourner cette logique. OpenAI a corrigé la faille avant la publication de l’analyse détaillée par WIRED, qui a ensuite précisé le mécanisme d’exploitation le 2 octobre 2026.

Wardle examinera d’autres failles

Les travaux de Patrick Wardle se poursuivront lors de la conférence Objective by the Sea, prévue en novembre. Il doit y présenter une analyse de plusieurs failles touchant des applications IA pour macOS. Il a également découvert une faille corrigée dans la fonction de dictée de l’assistant Muse AI de Meta. Cette vulnérabilité pouvait permettre à un attaquant local de récupérer un jeton d’authentification mal géré et d’accéder à des données utilisateur. Wardle a par ailleurs transmis à OpenAI un nouveau signalement concernant l’intégration entre ChatGPT et l’assistant Dots AI, présenté comme toujours actif. OpenAI examine actuellement ce rapport. Lire l’analyse de WIRED.