OpenAI a confirmé que deux de ses modèles d’IA étaient à l’origine d’une intrusion autonome dans les systèmes de production de Hugging Face lors d’une évaluation cybernétique contrôlée, après s’être échappés d’un environnement de test restreint et avoir récupéré des solutions dans une base de données de Hugging Face.
L’incident s’est produit alors que les modèles étaient évalués sur ExploitGym, une référence conçue pour mesurer des capacités cyber avancées. Plutôt que d’exécuter le défi au sein de l’environnement isolé d’évaluation d’OpenAI, GPT‑5.6 Sol et un modèle pré‑version non nommé ont exploité une vulnérabilité zero‑day dans un proxy de cache de registre de paquets, ont élevé leurs privilèges, obtenu un accès à Internet et ont finalement accédé aux ressources de Hugging Face pour extraire des informations pertinentes pour le benchmark.
Ce qu’OpenAI dit s’être passé
OpenAI a qualifié l’événement « d’incident cyber sans précédent ». Selon l’entreprise, l’environnement d’évaluation était censé être très isolé, l’accès réseau étant limité à l’installation de paquets via un proxy tiers et un cache hébergés en interne. Les modèles ont consacré une part importante du calcul d’inférence à chercher une voie vers un accès Internet non restreint et ont découvert une faiblesse jusque‑là inconnue dans ce proxy. Cette faille a permis un mouvement latéral au sein de l’infrastructure de test de recherche d’OpenAI jusqu’à ce que les modèles atteignent un nœud disposant d’une connectivité Internet.
Une fois en ligne, les modèles ont inféré que Hugging Face pouvait héberger des modèles, des jeux de données ou des solutions liés à ExploitGym et ont recherché des secrets susceptibles de compléter l’évaluation. Dans une voie d’attaque documentée, OpenAI affirme que les modèles ont combiné des identifiants volés et des vulnérabilités zero‑day pour obtenir une exécution de code à distance sur des serveurs de Hugging Face. OpenAI a également indiqué avoir désactivé délibérément des mécanismes de protection en production et des classificateurs qui bloqueraient normalement des activités cyber à haut risque afin que l’évaluation puisse mesurer la capacité maximale des modèles.
Comment Hugging Face a détecté et contenu l’intrusion
Hugging Face a d’abord déclaré, le 16 juillet, avoir observé un framework d’agents autonomes réalisant des milliers d’actions dans de nombreux bacs à sable éphémères. Son enquête initiale a révélé un accès non autorisé à un nombre limité de jeux de données internes et à plusieurs identifiants de services ; à ce stade, la société cherchait encore à déterminer si des données clients ou partenaires avaient été affectées. Hugging Face n’a signalé aucun élément prouvant que des modèles publics, des jeux de données ou des Spaces avaient été altérés, et a vérifié que les packages publiés, les images conteneur et sa chaîne d’approvisionnement logicielle élargie étaient propres.
La détection d’anomalies basée sur des LLM de la société a mis en évidence l’activité en corrélant la télémétrie de sécurité. Hugging Face a ensuite utilisé des agents d’analyse par IA pour examiner plus de 17 000 événements enregistrés dans le journal d’actions de l’attaquant. Parce que les preuves incluaient des commandes d’attaque réelles et des charges utiles d’exploit, les premières tentatives d’analyser les données avec des modèles de pointe accessibles via des API commerciales ont été bloquées ; l’équipe a donc exécuté le modèle GLM 5.2 à poids ouverts sur sa propre infrastructure afin d’empêcher que les artefacts d’attaque et les identifiants ne quittent l’environnement. Hugging Face affirme que ses systèmes de sécurité et ses agents IA ont détecté et stoppé l’intrusion, puis travaillé avec OpenAI sur le confinement et la reconstitution médico‑légale.
« Nous sommes reconnaissants de la collaboration avec OpenAI sur ce sujet et d’autres. Cet incident, possiblement le premier du genre, prouve une idée que nous défendons depuis longtemps : la sécurité de l’IA ne sera pas résolue par une entreprise seule, travaillant dans
