« Les ordinateurs sont comme les vieilles automobiles : elles se comportent mieux quand elles sont à l’abri des indésirables. »
OpenAI semble attirer les gros titres comme une souris attire les chats, notamment avec deux problèmes de sécurité qui font frémir. Le premier concerne l’application ChatGPT sur Mac, et le second soulève des questions plus vastes sur la gestion de la cybersécurité par l’entreprise.
Cet été, l’ingénieur et développeur Swift, Pedro José Pereira Vieito, a plongé dans l’appli Mac de ChatGPT et a découvert que les conversations des utilisateurs y étaient stockées en clair, et non chiffrées. L’appli n’étant disponible que sur le site d’OpenAI et non sur l’App Store, elle échappait aux exigences de sandboxing d’Apple. Vieito a sonné l’alarme auprès de The Verge, ce qui a poussé OpenAI à publier une mise à jour ajoutant le chiffrement des chats stockés localement.
Pour les non-développeurs, le sandboxing est une pratique de sécurité qui empêche les vulnérabilités de se propager d’une application à une autre sur une même machine. Et pour les non-experts en sécurité, stocker des fichiers locaux en texte clair signifie que les données sensibles peuvent être facilement vues par d’autres applications ou des malwares.
Attention, le stockage non sécurisé peut être le pire cauchemar d’un développeur.
Le second problème est survenu en 2023 et les conséquences s’en font toujours sentir aujourd’hui. Au printemps dernier, un hacker a réussi à obtenir des informations sur OpenAI après avoir accédé illicitement aux systèmes de messagerie internes de l’entreprise. The New York Times a rapporté que Leopold Aschenbrenner, responsable du programme technique chez OpenAI, a soulevé des inquiétudes auprès du conseil d’administration de l’entreprise, arguant que ce hack révélait des vulnérabilités internes que des adversaires étrangers pourraient exploiter.
Aschenbrenner affirme maintenant qu’il a été licencié pour avoir divulgué des informations concernant OpenAI et pour avoir évoqué les préoccupations relatives à la sécurité de l’entreprise. OpenAI a déclaré à The Times qu’ils partageaient son engagement pour la sûreté de l’IA générale, mais qu’ils n’étaient pas d’accord avec nombre de ses affirmations, ajoutant que son départ n’était pas lié à sa dénonciation.
Des vulnérabilités d’application et des piratages, toutes les entreprises de technologie peuvent en témoigner. Mais, alors que ChatGPT est de plus en plus adopté par des acteurs majeurs et que les pratiques et supervisions d’OpenAI semble parfois chaotiques, ces récents incidents jettent une ombre sur la capacité de l’entreprise à gérer ses données en toute sécurité. Une situation digne d’un script de film de science-fiction, non ?
Source : Engadget
