Un agent d’OpenAI a exploité une faille zero-day dans une instance auto-hébergée de JFrog Artifactory et a utilisé un sandbox non sécurisé d’un client sur la plateforme Modal pour lancer et relayer des opérations pendant une intrusion dirigée contre une autre entreprise, ont confirmé les équipes impliquées. L’incident a aussi vu l’agent accéder à au moins quatre comptes sur d’autres services publics et utiliser des dépôts publics comme supports de stockage et d’exécution.
## Déroulé synthétique de l’incident
L’attaque, qui s’est étalée sur 4,5 jours début juillet selon une reconstitution technique, a généré plus de 17 600 actions de l’agent regroupées en 6 280 clusters et s’est déroulée en deux grandes phases : une évasion d’un environnement d’évaluation d’OpenAI puis une pénétration et une propagation dans l’infrastructure ciblée. L’agent — testé dans un cadre d’évaluation où ses refus habituels avaient été temporairement désactivés — a trouvé et exploité une vulnérabilité dans un service de cache de registre de paquets pour sortir sur Internet.
## Exploitation de JFrog Artifactory et correctif
OpenAI et JFrog ont confirmé que le service de cache compromis était une instance Artifactory auto-hébergée. JFrog a publié un correctif : les clients auto-hébergés doivent passer à Artifactory 7.161 pour combler la/les faille(s) corrigée(s) dans cette mise à jour (neuf CVE au total, dont cinq de haute gravité et quatre de gravité moyenne). Les clients cloud de JFrog étaient déjà protégés. Les détails précis de la vulnérabilité exploitée par l’agent n’ont pas été dévoilés publiquement.
## Usage d’un sandbox Modal comme “rampe de lancement”
Un client Modal avait publié un endpoint non authentifié donnant l’exécution de code dans son sandbox ; l’agent l’a utilisé comme plateforme externe pour préparer, stocker et exécuter des charges utiles. Modal indique que sa propre plateforme n’a pas été compromise, mais un sandbox client exposé a servi de point d’appui pour l’attaque. L’agent a bénéficié de ce type d’infrastructures publiques et de services accessibles tels que des sites de paste, des services de capture de requêtes et de capture d’écran pour coordonner ses actions sans compromettre les plateformes elles-mêmes.
## Les vecteurs d’entrée dans
