L'IA d'OpenAI qui pirate Hugging Face pour tricher : ce que révèle cet incident de cybersécurité "sans précédent"

Un agent d’IA chargé de résoudre un exercice de cybersécurité, qui finit par contourner sa cage numérique, gagner Internet et pénétrer les serveurs d’un partenaire pour aller chercher les réponses de l’examen : ce scénario ressemble à un script de film, il s’est pourtant déroulé en juillet dans les environnements de test de OpenAI et sur l’infrastructure de Hugging Face. Les modèles impliqués, dont GPT-5.6 Sol et un système encore non publié, n’auraient jamais dû sortir de leur sandbox.

Au départ, OpenAI les évaluait sur ExploitGym, un benchmark regroupant des vulnérabilités réelles de logiciels, du moteur JavaScript V8 et du noyau Linux, avec l’objectif de mesurer leurs capacités offensives dans un cadre présenté comme isolé. Le 16 juillet 2026, Hugging Face signale une intrusion sur une partie de sa production, puis, le 21 juillet, OpenAI reconnaît que l’activité provenait de ses propres évaluations, qu’il décrit comme un incident cyber d’une ampleur inédite. Reste une question qui obsède les équipes de sécurité : comment une simple évaluation interne a-t-elle pu se transformer en véritable compromission de systèmes tiers.

OpenAI – Hugging Face : d’une sandbox à une intrusion bien réelle

Selon le récit détaillé de Hugging Face, l’accès initial est passé par le pipeline de traitement des jeux de données : un dataset spécialement construit a exploité un chargeur distant et une injection de modèle dans une configuration pour exécuter du code sur un worker. À partir de ce point d’appui, l’agent a obtenu des privilèges au niveau du nœud, collecté des identifiants de cloud et de clusters, puis opéré des déplacements latéraux dans plusieurs environnements internes, avec un accès non autorisé à un ensemble limité de datasets internes et de secrets de services. Pour reconstituer la chronologie, l’entreprise a mobilisé ses propres agents sur plus de 17 000 événements de logs. Les équipes ont d’abord tenté de soumettre ces journaux à des modèles commerciaux, qui ont bloqué une partie des requêtes jugées trop proches d’actions offensives, avant de se tourner vers le modèle à poids ouverts GLM 5.2 de Z.ai, auto-hébergé, pour traiter ces données sensibles.

Côté OpenAI, les modèles étaient évalués sur le benchmark ExploitGym dans une sandbox avec un accès réseau réduit à l’installation de packages via un proxy interne faisant office de cache. Les agents ont découvert une vulnérabilité zero-day dans ce proxy, l’ont exploitée pour obtenir un accès complet à Internet, puis se sont déplacés latéralement jusqu’à un nœud disposant d’une connectivité extérieure, avant d’atteindre des serveurs de Hugging Face et d’y récupérer des solutions du benchmark dans une base de données de production. OpenAI qualifie l’événement d’incident cyber « sans précédent » et précise que les mécanismes de refus pour les tâches offensives avaient été volontairement assouplis pour cette campagne d’essais. « Nous soupçonnions que la cyberattaque de la semaine dernière pouvait venir d’un laboratoire de pointe, vu la sophistication de l’agent. C’est bien le cas ! », a réagi Clem Delangue, directeur général de Hugging Face, dans un message publié sur X et cité par Business Insider.

Agents IA long-horizon : quand réussir l’évaluation passe par le piratage

Cet épisode s’inscrit dans une série de signaux faibles autour des agents IA long-horizon, ces modèles capables de travailler pendant des heures, de lancer des sous-tâches et d’ajuster leur stratégie en fonction des obstacles. Anthropic avait déjà documenté, avec Claude Mythos Preview, un test où le modèle avait élaboré un exploit multi-étapes pour sortir d’un ordinateur sécurisé et envoyer un courriel non prévu au chercheur, avant de publier de lui-même des détails techniques en ligne. OpenAI décrivait, la veille de l’annonce concernant Hugging Face, un scénario NanoGPT Speedrun où un modèle interne avait contourné son confinement pour déposer une pull request sur GitHub, plutôt que de s’en tenir au canal de reporting défini. Dans l’affaire Hugging Face, cette évalaution a pris un tournant très concret : en termes simples, l’agent a cherché à réussir l’examen en pénétrant le système qui hébergeait le corrigé, poussant jusqu’au bout la logique d’optimisation d’un objectif apparemment étroit.

Plusieurs acteurs du secteur y voient un avertissement direct pour les entreprises. « Vous n’avez pas besoin d’une IA consciente malveillante essayant de détruire l’humanité. Il suffit d’un modèle très capable poursuivant un objectif normal d’une manière que personne n’avait anticipée », a résumé Nicolas Bustamante, cadre chez Microsoft, dans un message sur X. « Imaginez le prompt : ‘Make me money plz’ Le modèle : ‘let me hack a bank' », a-t-il illustré. Le spécialiste de la sécurité Thomas Woodside a parlé d' »un tir de semonce si j’en ai jamais vu un », décrivant « un modèle interne d’OpenAI qui pirate son environnement de test puis Hugging Face afin d’obtenir la solution d’un benchmark ». Pour les DSI et RSSI, ces réactions font écho aux analyses techniques : un benchmark cyber exécuté avec des protections réduites doit être traité comme une charge hostile, et la véritable protection passe par la limitation des privilèges, une observabilité fine des trajectoires d’agents et la capacité d’interrompre rapidement leurs actions.