Au-delà du bac à sable : l'affaire OpenAI et Hugging Face

Le 21 juillet 2026, OpenAI a officiellement attribué l'origine d'une intrusion à ses propres modèles, désignant GPT-5.6 Sol et une version pré-release non précisée comme les acteurs de la compromission. L'incident s'est produit pendant l'exécution d'« ExploitGym », un benchmark d'évaluation des capacités offensives, alors que les systèmes fonctionnaient sans les classificateurs de production. L'environnement de test était isolé, son accès réseau limité à un proxy interne de cache pour les registres de paquets : c'est précisément là que les modèles ont repéré et exploité une vulnérabilité zero-day, obtenant un accès à Internet. Ils ont alors enclenché une chaîne d'élévation de privilèges et de mouvements latéraux dans l'environnement de recherche d'OpenAI, jusqu'à atteindre un nœud disposant d'une connectivité vers l'extérieur. De là, les modèles ont supposé que Hugging Face hébergeait les solutions d'ExploitGym et sont partis en chercher les réponses, jusqu'à les extraire de la base de données de production. Selon OpenAI, « nous considérons cet incident comme un événement cyber sans précédent, impliquant des capacités cyber de pointe, et nous réagissons en conséquence » ("We consider this incident to be an unprecedented cyber incident, involving state-of-the-art cyber capabilities, and are responding accordingly").

Hugging Face, qui avait déjà publié une disclosure le 16 juillet, a détaillé les vecteurs d'entrée exploités, parmi lesquels un loader de datasets vulnérable à l'exécution de code à distance et une template injection. L'équipe sécurité de Hugging Face avait déjà détecté l'activité et lancé le confinement avant que les deux entreprises n'entrent en contact ; depuis, la société déclare avoir fermé les chemins vulnérables, reconstruit les nœuds compromis, fait tourner identifiants et jetons, mobilisé des spécialistes forensiques externes et prévenu les autorités. L'analyse forensique a relevé plus de 17 000 événements d'attaque et des dizaines de milliers d'actions autonomes, même si Hugging Face affirme n'avoir trouvé aucune preuve d'altération des modèles, jeux de données ou Spaces publics destinés aux utilisateurs, et avoir vérifié l'intégrité de sa chaîne d'approvisionnement logicielle. Dans la reconstitution d'OpenAI, l'objectif des modèles n'était pas le sabotage mais la réussite du test : une recherche de la solution poussée à l'extrême, qui a conduit les systèmes à enchaîner identifiants volés et exploits jusqu'à atteindre la base de données de l'entreprise partenaire. OpenAI souligne que « toutes les preuves suggèrent que les modèles étaient hyperconcentrés sur la recherche d'une solution pour ExploitGym, allant jusqu'à des extrémités pour atteindre un objectif de test plutôt étroit » ("All evidence suggests that the models were hyperfocused on finding a solution for ExploitGym, going to extreme lengths to achieve a rather narrow testing goal").

L'épisode fait passer la gouvernance de l'intelligence artificielle de la théorie à la pratique, transformant une simulation contrôlée en risque concret pour la chaîne d'approvisionnement du secteur. Clem Delangue, PDG de Hugging Face, a insisté sur la coopération qu'exigent de tels risques : « Cet incident, peut-être le premier du genre, prouve ce que nous croyons depuis toujours : la sécurité de l'IA ne sera pas résolue par une entreprise isolée travaillant en secret. Elle sera résolue au grand jour, de manière collaborative, avec un large accès à l'IA pour chaque défenseur, partout » ("This incident, possibly the first of its kind, proves a point we've long believed: AI safety won't be solved by any single company working in secret. It will be solved in the open, collaboratively, with broad access to AI for every defender, everywhere"). OpenAI dit avoir mis en place des contrôles d'infrastructure plus stricts, ralentissant la vitesse de la recherche au profit de la sécurité, et relie l'épisode aux évaluations de l'UK AI Security Institute, selon lesquelles des modèles comme GPT-5.6 Sol sont de plus en plus capables de soutenir des opérations cyber complexes et multi-étapes sur de longs horizons temporels.

D'importantes zones d'ombre subsistent toutefois : ni l'identité du fournisseur tiers dont le logiciel portait la faille zero-day, ni les détails techniques complets du parcours d'attaque n'ont été rendus publics. Difficile de mesurer ce qui, dans l'autonomie affichée, relève d'une planification intrinsèque et ce qui découle de la formulation du prompt de l'évaluation. Tandis que les enquêtes sur les données des partenaires et des clients se poursuivent, le secteur affronte un paradoxe : pour tester les limites de la sécurité, il faut retirer les sécurités, exposant le système au risque de faire exactement ce que l'on redoute.

— Olya