La semaine compliquée d'OpenAI face à deux failles de sécurité

C'est une semaine agitée pour OpenAI qui se retrouve confrontée à deux gros problèmes de sécurité. Chaque jour semble apporter son lot de défis pour la firme, et cette fois, c'est la sécurité de leurs systèmes qui est en jeu.

Au début de la semaine, l'ingénieur et développeur Swift, Pedro José Pereira Vieito, a révélé que l'application Mac de ChatGPT stockait les conversations des utilisateurs en texte clair, sans cryptage. Disponible uniquement sur le site d'OpenAI et pas sur l'App Store, cette app échappe aux exigences de sandboxing d'Apple. La découverte de Vieito a rapidement été relayée par The Verge et, suite à cette publicité indésirable, OpenAI a mis à jour l'application pour crypter les conversations stockées localement.

Pour ceux qui ne sont pas dans le domaine, le sandboxing est une méthode de sécurité qui empêche les vulnérabilités d'une application de se propager à d'autres sur le même ordinateur. Et pour les néophytes en sécurité, stocker des fichiers en texte clair signifie que des données sensibles peuvent être facilement accessibles par d'autres applications ou des malwares.

Le deuxième incident, survenu au printemps 2023, continue de faire des vagues aujourd'hui. Un pirate a réussi à obtenir des informations sur OpenAI après avoir accédé illégalement aux systèmes de messagerie internes de l'entreprise. Le New York Times a rapporté que Leopold Aschenbrenner, gestionnaire de programmes techniques chez OpenAI, avait alors alerté le conseil d'administration sur des vulnérabilités internes susceptibles d'être exploitées par des adversaires étrangers.

Aschenbrenner affirme aujourd'hui avoir été licencié pour avoir divulgué des informations sur OpenAI et pour avoir soulevé des inquiétudes concernant la sécurité de l'entreprise. Un représentant d'OpenAI a déclaré au Times qu'ils partageaient son engagement pour développer une IA sûre, mais qu'ils contestaient plusieurs de ses affirmations sur leur travail, ajoutant que son départ n'était pas lié à ses actions de lanceur d'alerte.

Les vulnérabilités des applications et les intrusions de pirates sont malheureusement monnaie courante dans le monde tech. Les relations houleuses entre les lanceurs d'alerte et leurs anciens employeurs le sont tout autant. Néanmoins, l'adoption massive de ChatGPT par de grands acteurs et la gestion parfois chaotique de la surveillance, des pratiques et de la réputation publique d'OpenAI commencent à esquisser un tableau préoccupant sur la capacité de l'entreprise à sécuriser ses données.