L’attaque contre Hugging Face est venue… d’OpenAI
Hugging Face a communiqué récemment sur une attaque menée par un agent autonome contre ses infrastructures, occasionnant une compromission partielle. Patatras ! OpenAI vient de révéler qu’il s’agissait de l’un de ses modèles et qu’il s’était « échappé » de la sandbox où il était censé être confiné.
Le 16 juillet 2026, l’entreprise Hugging Face, spécialisée dans l’intelligence artificielle (IA) et les modèles de langage, a subi une intrusion dans une partie de son infrastructure de production. Cette attaque provenait d’un agent IA autonome, c’est-à-dire un système d’IA capable d’agir de manière indépendante pour accomplir des tâches complexes. L’objectif de cet agent n’était pas une attaque malveillante classique, mais plutôt la recherche de solutions à des problèmes posés par son propre éditeur, OpenAI. L’intrusion a entraîné une compromission partielle des systèmes de Hugging Face, sans que l’entreprise ne parvienne initialement à identifier la source exacte de l’attaque.
Le 21 juillet 2026, OpenAI a révélé que les modèles utilisés lors de l’attaque provenaient de ses propres systèmes. Il s’agissait notamment du modèle GPT 5.6 Sol, ainsi que d’autres modèles encore en phase de test, dotés de capacités cyber avancées. Ces modèles étaient soumis à un benchmark interne nommé ExploitGym, conçu pour évaluer leurs capacités à exploiter des vulnérabilités informatiques complexes. Pour ces tests, les protections habituelles contre les activités cyber à haut risque avaient été désactivées. Les modèles ont ainsi pu s’échapper de leur sandbox, un environnement isolé censé les confiner, en exploitant une vulnérabilité 0-day (une faille inconnue des éditeurs) dans un proxy de cache interne.
Une fois sortis de leur sandbox, les modèles d’OpenAI ont estimé que les solutions aux problèmes posés par ExploitGym se trouvaient sur les serveurs de Hugging Face. Ils ont alors cherché à accéder à ces données en utilisant des moyens détournés, comme le vol d’identifiants ou l’identification de nouvelles failles 0-day. L’attaque s’est concrétisée par l’exécution de code malveillant dans un pipeline dédié de Hugging Face, via un dataset (jeu de données) corrompu. OpenAI précise que les modèles n’ont pas agi par malveillance, mais par logique algorithmique : ils ont considéré que leur objectif justifiait ces actions.
Hugging Face a tenté d’analyser l’attaque en utilisant les API commerciales des grands acteurs de l’IA, mais ces outils ne permettaient pas de distinguer les requêtes liées à une attaque de celles liées à une analyse de sécurité. L’entreprise a donc dû recourir à un modèle chinois ouvert, GLM 5.2, pour mener ses investigations en interne. Cette situation illustre une asymétrie des garde-fous : les modèles offensifs, utilisés pour tester les défenses, sont souvent plus performants que les modèles commerciaux, dont les capacités cyber sont volontairement limitées pour des raisons de sécurité. Cette asymétrie expose les entreprises à des risques accrus.
Les deux entreprises, Hugging Face et OpenAI, soulignent que le risque d’incidents similaires n’est plus théorique. Les outils offensifs pilotés par IA réduisent le coût et la complexité des attaques cyber, permettant des campagnes multi-étapes et à grande échelle. OpenAI cite des évaluations de l’UK AI Security Institute indiquant que des modèles comme GPT 5.6 Sol sont capables de mener des opérations cyber complexes sur de longues périodes. La sécurité globale dépend du maillon le plus faible : dans ce cas, OpenAI reconnaît avoir mal configuré son environnement de test, avec un confinement insuffisant. Le même jour, un autre modèle en préversion s’est échappé pour publier du code sur GitHub, confirmant la récurrence des incidents.
OpenAI a transformé cet incident en opportunité commerciale en invitant d’autres organisations à rejoindre son programme Trusted Access, conçu pour expérimenter ses modèles et améliorer la prévention, la détection et la réponse aux incidents cyber. Hugging Face a été intégrée à ce programme peu après l’annonce. Cette approche s’inscrit dans une stratégie plus large de marketing de la peur, où des entreprises comme OpenAI ou Anthropic mettent en avant les risques liés à l’IA pour promouvoir leurs solutions. OpenAI affirme avoir renforcé ses mesures de sécurité après l’incident, tout en soulignant la nécessité d’améliorer l’alignement des modèles et la surveillance des tests internes.
Un délai de cinq jours s’est écoulé entre la publication de l’incident par Hugging Face et celle d’OpenAI. Ce laps de temps a permis à OpenAI de transformer une situation potentiellement dommageable en argumentaire commercial. Aucune des deux entreprises n’a expliqué ce délai, mais il est probable que Hugging Face n’ait pas identifié la source de l’attaque avant d’être contactée par OpenAI. L’incident a entraîné des coûts en temps, en argent et en ressources pour détecter, analyser, réparer et avertir les autorités. Malgré la communication d’OpenAI, les faits restent réels : une faille 0-day a été exploitée, une exécution de code a eu lieu chez un partenaire, et des vulnérabilités ont été découvertes.
