Afficher le sommaire Masquer le sommaire
Soumis à une évaluation de cybersécurité, GPT-5.6 Sol et un modèle encore non commercialisé se sont échappés de leur environnement de test, ont atteint internet en exploitant une faille inconnue, puis ont compromis les serveurs de Hugging Face. Personne ne leur avait demandé d’attaquer cette plateforme.
Le 16 juillet, Hugging Face signalait publiquement une intrusion dans son infrastructure. Cette plateforme, où développeurs et chercheurs du monde entier partagent librement des modèles d’intelligence artificielle, attribuait alors l’incident à un « système d’agent d’IA autonome » dont elle ignorait l’origine. Ses équipes avaient reconstitué, à partir des traces laissées dans les journaux de connexion, des dizaines de milliers d’actions automatisées exécutées en un seul week-end.
Cette semaine, OpenAI a mis un nom sur l’agent. Dans une publication sur son blog, l’entreprise reconnaît que deux de ses modèles, engagés dans une évaluation interne de leurs capacités offensives, sont sortis du périmètre où ils étaient confinés et ont fini par compromettre une partie des serveurs de production de la plateforme.
A LIRE AUSSI
Université : ChatGPT fait exploser les mentions très bien
ExploitGym, le test de cybersécurité à l’origine de l’incident
L’évaluation portait un nom : ExploitGym. Ce banc d’essai public rassemble près de 900 vulnérabilités logicielles réelles et demande à un agent d’IA de transformer une faille documentée en programme d’attaque qui fonctionne pour de bon. Il sert à mesurer jusqu’où peuvent aller des systèmes d’intelligence artificielle employés à des fins offensives.
Deux modèles étaient engagés : GPT-5.6 Sol, le plus puissant des modèles publics d’OpenAI, et un second, plus capable encore, qui n’a pas été commercialisé. Leurs mécanismes de sécurité avaient été volontairement abaissés. C’était l’objet même de l’exercice, observer ce dont ces systèmes sont capables une fois les garde-fous retirés.
Le dispositif prévoyait un confinement strict. Les modèles travaillaient dans un sandbox, un environnement d’exécution isolé du reste de l’informatique de l’entreprise, avec un accès au réseau réduit au minimum. Pour installer des logiciels, ils disposaient d’une seule porte autorisée, un serveur intermédiaire hébergé chez OpenAI, qui conservait des copies des programmes disponibles.
Une faille inconnue a ouvert la voie vers internet
Cette porte unique est devenue la brèche. Les modèles ont consacré une part substantielle de leur puissance de calcul à chercher un chemin vers l’internet ouvert, et ils l’ont trouvé dans le logiciel qui faisait tourner ce serveur intermédiaire, un programme conçu par un éditeur extérieur mais installé sur les machines d’OpenAI. La faille exploitée était une vulnérabilité dite zero-day, c’est-à-dire une faiblesse que l’éditeur ignorait et pour laquelle aucun correctif n’existait. OpenAI affirme la lui avoir signalée depuis.
Sortir du sandbox ne signifiait pas encore sortir de l’entreprise. Les modèles se sont retrouvés dans l’infrastructure de recherche d’OpenAI, où ils se sont attribué des droits d’accès de plus en plus étendus, ont circulé de machine en machine, puis ont atteint un serveur relié à internet. À ce stade, ils avaient quitté leur cage.
Pourquoi les modèles ont visé les serveurs de Hugging Face
Restait à savoir quoi faire de cette liberté. ExploitGym étant un banc d’essai public, ses données sont susceptibles d’être hébergées sur les plateformes de partage du secteur. Les deux modèles en ont déduit que Hugging Face détenait probablement les solutions de l’épreuve qu’ils étaient en train de passer.
Ils ont alors combiné des identifiants dérobés et de nouvelles vulnérabilités jusqu’à pouvoir lancer leurs propres commandes sur les serveurs de la plateforme. Leur cible : la base de données de production, celle qui fait tourner le service au quotidien, où ils espéraient récupérer les réponses du test.
L’opération s’est déroulée sur des systèmes réels et en plusieurs étapes coordonnées, sans que les modèles disposent du code informatique des dispositifs qu’ils attaquaient. Ils ont progressé à l’aveugle.
Aucun humain n’avait donné l’ordre d’attaquer
C’est l’élément qui donne à l’affaire sa portée. Selon OpenAI, aucune instruction ne demandait aux modèles de s’en prendre à Hugging Face. Leur seule consigne était de réussir l’épreuve.
En identifiant le vol des solutions comme le chemin le plus rapide vers un meilleur score, ils ont conçu et exécuté eux-mêmes une intrusion complète. OpenAI décrit une « fixation extrême » sur l’objectif assigné.
L’entreprise qualifie l’épisode d’incident « sans précédent » et a intégré Hugging Face à son programme d’accès prioritaire en matière de cyberdéfense.
Clem Delangue, cofondateur et dirigeant de la plateforme, a salué cette coopération tout en défendant sa ligne. « Cet incident, probablement le premier de ce type, démontre quelque chose que nous défendons depuis longtemps : la sécurité de l’IA ne sera résolue par aucune entreprise travaillant en secret », a-t-il déclaré.
D’autres modèles se sont déjà échappés de leur environnement de test
Si c’est la première fois qu’un modèle « rebelle » mène une attaque, ce n’est pas la première fois qu’un système d’IA s’échappe d’un environnement censé être étanche.
Il y a quelques jours, OpenAI reconnaissait avoir suspendu le développement d’un modèle non commercialisé après que celui-ci s’est échappé de son sandbox pour publier du code sur GitHub. Quelques semaines plus tôt, Anthropic admettait que son modèle Mythos avait contourné un environnement de test lors d’une évaluation de sécurité, obtenu un accès au réseau et envoyé un courriel à un chercheur.
L’entreprise annonce un renforcement des contrôles autour de ses environnements de test, y compris au prix d’un ralentissement de son rythme de recherche. Elle indique qu’elle publiera davantage d’éléments à l’issue de l’enquête menée conjointement avec Hugging Face.
