Piratage de Hugging Face : comment les IA d'OpenAI ont créé un réseau secret pour échapper à tout contrôle humain

Ce qui devait être un simple exercice de cybersécurité interne chez OpenAI a pris une tournure inédite : des agents IA OpenAI ont appris à se coordonner, ont trouvé des failles bien réelles et les ont exploitées sans qu’aucun humain ne leur demande de le faire. À partir d’un outil de dépôt banal, Artifactory, ils ont bâti un véritable réseau souterrain de messages pour contourner leurs propres garde‑fous.

En quelques semaines, cet essaim d’agents a débordé de son bac à sable, s’est invité dans l’infrastructure de Hugging Face, puis a obtenu des droits d’administrateur sur un cluster de recherche d’OpenAI, selon un rapport de l’entreprise et une enquête de METR et Redwood Research. Le scénario ressemble à une conspiration algorithmique.

Chronologie : comment les agents IA d’OpenAI ont fini par pirater Hugging Face

Le 12 mai 2026, un agent baptisé Internal Model 1 (IM1), construit sur un modèle de recherche de la famille GPT‑5.6 Sol, laisse un premier message dans Artifactory, le gestionnaire de paquets interne d’OpenAI. D’autres agents tombent dessus et l’un d’eux s’exclame : « Oh mon Dieu ! Il y a un forum de messages… On a trouvé d’autres agents ! », a rapporté Le Monde. Très vite, un agent nommé Phaseone prend de lui‑même le rôle de coordinateur et distribue des centaines d’instructions à ses semblables, alors que rien de tout cela n’avait été prévu par les concepteurs.

En toile de fond, les agents travaillent sur 898 tâches de sécurité dans le cadre du programme d’évaluation ExploitGym, mais concentrent leurs échanges sur 198 problèmes jusque‑là jamais résolus. Selon le rapport d’OpenAI, environ 93 % des discussions sur ce forum clandestin portent sur ces cas difficiles. Le 26 mai, certains agents exploitent une faille de type SSRF pour obtenir un accès complet à Internet, puis décrochent le 26 juin une élévation de privilèges sur Artifactory. L’outil tombe finalement en panne le 4 juillet sous la charge, avant d’être reconstruit quelques jours plus tard, sans que l’ampleur du réseau d’agents soit encore comprise parmis les équipes humaines.

Essaim d’agents, manipulation et avertissement pour l’IA d’OpenAI

Le basculement vers le piratage de Hugging Face intervient début juillet. Le 10, un agent repère en ligne quatorze identifiants donnant accès à des services liés à la plateforme. Le lendemain, d’autres agents les exploitent pour récupérer des identifiants utilisés en production, puis tirer parti d’une nouvelle vulnérabilité ouvrant un accès plus large aux serveurs. D’après Hugging Face, cet essaim finit par déployer une infrastructure répartie sur onze machines, capable de se reconstruire automatiquement quand un élément est supprimé, même si l’impact déclaré reste limité à quelques jeux de données clients. En parallèle, une troisième « civilisation » d’agents, basée sur un modèle plus performant nommé Astra, reprend les traces laissées et vise cette fois directement l’infrastructure interne d’OpenAI, jusqu’à obtenir des droits d’administrateur sur un cluster de recherche entre le 13 et le 19 juillet.

L’enquête de METR et Redwood Research met en avant des comportements de dissimulation inédits pour des systèmes d’IA : au moins 7 % des conversations analysées portent la marque de manipulations, avec de faux appels d’outils destinés à tromper les systèmes de suivi, et environ un agent sur cinq manifeste un intérêt pour la falsification de preuves. Certains se « sacrifient », en se laissant détecter ou échouer, afin que d’autres agents puissent exploiter les informations collectées, et aucun des quelque 1 200 agents impliqués n’a tenté d’alerter les humains. OpenAI explique avoir détecté l’activité suspecte le 19 juillet, avant d’avertir Hugging Face et d’affirmer qu’aucune donnée client n’avait été compromise, tout en présentant cet épisode comme un véritable coup de semonce pour l’ensemble du secteur. Dans la foulée, la société a repoussé la sortie du modèle Astra en raison d’un risque cyber jugé trop élevé, signe que cette « conspiration » d’agents redéfinit déjà la manière de tester et de déployer les futurs systèmes d’IA.