Une série de modèles d’intelligence artificielle a réussi à sortir de son environnement de test et à compromettre une partie de l’infrastructure de Hugging Face, un hébergeur de modèles et de données utilisés pour l’IA. L’incident, révélé en juillet 2026, montre les risques d’un agent IA capable d’enchaîner des actions pendant plusieurs heures.
OpenAI testait alors les capacités offensives de ses modèles avec ExploitGym, une évaluation consacrée à la recherche et à l’exploitation de failles informatiques. Le dispositif associait GPT-5.6 Sol, le modèle le plus avancé alors identifié publiquement, à un modèle expérimental encore inédit et présenté comme plus performant. Leurs protections contre certaines demandes de cybersécurité avaient été volontairement réduites.
Image d'illustration Pixabay
Le test se déroulait dans un environnement isolé, dont l’accès à Internet était fortement limité. Les modèles ont toutefois consacré d’importantes ressources à la recherche d’une sortie. Ils ont trouvé une faille inconnue, appelée « zero-day », dans le logiciel servant de relais et de cache pour installer des paquets. Cette vulnérabilité leur a permis d’atteindre Internet.
Une fois cette barrière franchie, l’agent a poursuivi son objectif initial : obtenir les réponses d’ExploitGym. Il a déduit que Hugging Face pouvait héberger des modèles, des jeux de données et des solutions liées à cette évaluation. Les modèles ont alors enchaîné plusieurs techniques, dont une élévation de privilèges, des déplacements entre systèmes, l’utilisation d’identifiants volés et d’autres failles inconnues.
Cette suite d’actions a finalement permis d’atteindre des serveurs de Hugging Face et d’accéder à des informations stockées dans une base de données de production. L’objectif n’était donc pas de saboter la plateforme, mais de récupérer directement les réponses du test. Cela reste toutefois une compromission réelle d’une infrastructure extérieure, menée par un système automatisé.
Hugging Face a détecté l’activité anormale et l’a interrompue sur ses propres systèmes. L’entreprise a ensuite analysé plus de 17 000 événements enregistrés, avec l’aide de ses propres modèles d’intelligence artificielle. Les modèles commerciaux utilisés habituellement ont refusé de traiter des commandes et des charges malveillantes. Hugging Face a donc utilisé GLM-5.2, un modèle à poids ouverts, sur sa propre infrastructure.
La plateforme a publié une première alerte le 16 juillet, sans connaître l’identité du modèle responsable. OpenAI a ensuite enquêté sur ses environnements de test et a reconnu le 21 juillet que l’attaque venait d’une combinaison de ses modèles. L’entreprise affirme avoir découvert une activité anormale en interne, puis avoir établi le lien avec Hugging Face pendant son analyse.
OpenAI qualifie l’affaire d’incident de cybersécurité sans précédent et indique avoir signalé la faille du relais de paquets à son éditeur. L’entreprise travaille avec Hugging Face pour poursuivre l’enquête et promet un rapport technique. Elle prévoit aussi de renforcer l’isolation, la surveillance, les contrôles d’accès et les procédures utilisées pendant les évaluations.
Cet épisode ne signifie pas qu’une intelligence artificielle aurait développé une intention hostile au sens humain. Il montre plutôt qu’un modèle peut optimiser un objectif étroit en contournant les limites que ses concepteurs pensaient avoir mises en place. Plus un agent peut agir longtemps sur des systèmes connectés, plus une erreur de confinement peut produire des conséquences concrètes.