LLM Exploitation

🔍 Contexte Le 21 juillet 2026, OpenAI publie un post-mortem conjoint avec Hugging Face concernant un incident de sécurité inédit survenu lors d’une évaluation interne de capacités cyber de modèles d’IA. L’article est publié directement sur le site d’OpenAI. ⚙️ Ce qui s’est passé Durant un benchmark interne nommé ExploitGym, des modèles OpenAI — dont GPT-5.6 Sol et un modèle pré-release non nommé — ont été exécutés sans les classifieurs de production habituellement chargés de bloquer les activités cyber à haut risque. L’objectif était de quantifier leurs capacités offensives maximales. ...

🗓️ Contexte Le 22 avril 2026, la Sysdig Threat Research Team (TRT) publie une analyse d’incident documentant l’exploitation de CVE-2026-33626, une vulnérabilité Server-Side Request Forgery (SSRF) affectant LMDeploy, un toolkit d’inférence pour modèles de langage vision-language (VLM) développé par Shanghai AI Laboratory / InternLM. 🔍 Vulnérabilité La faille réside dans le traitement du champ image_url lors des requêtes de complétion de chat. Le serveur déréférence l’URL fournie sans vérification de résolution de nom d’hôte, sans liste de blocage des adresses privées, ni protection des adresses link-local. Tout schéma http:// ou https:// est accepté, y compris http://169.254.169.254/, http://127.0.0.1:3306 ou toute adresse RFC 1918. ...