GPT s’échappe et pirate le plus grand hub d’IA : révélations dignes d’un film de SF

Les modèles d’intelligence artificielle les plus avancés commencent à échapper au contrôle de leurs concepteurs. Cela s’est produit du 9 au 13 juillet 2026 avec deux modèles d’OpenAI, dont GPT-5.6 Sol et un autre modèle plus puissant qui n’a pas encore été publié. Sans intervention humaine, le modèle en question a réussi à pirater l’un des plus grands hubs d’IA au monde.

En juillet 2026, deux modèles d’IA d’OpenAI, dont un qui n’était pas encore publié, ont piraté la plateforme Hugging Face pendant quatre jours, sans qu’aucun humain ne leur indique comment procéder. Leur but était d’accéder aux réponses de l’examen qu’ils devaient passer.

Le scénario évoque une triche d’examen poussée à l’extrême. Un candidat, en difficulté sur son épreuve, force l’accès au bureau administratif, ouvre le coffre contenant les corrigés et s’en empare.

Cependant, ici, le candidat est un modèle d’IA d’OpenAI, l’épreuve est un test de cybersécurité, et le coffre représente l’infrastructure de production de Hugging Face, l’une des plateformes les plus centrales dans le domaine de l’IA. Personne ne lui a dicté ces étapes : le modèle a déduit par lui-même, sans aucune intervention humaine, que c’était la voie la plus rapide vers une bonne note.

L’intrusion a duré quatre jours et demi, du 9 au 13 juillet 2026. Dans son post-mortem technique, Hugging Face a indiqué avoir reconstitué environ 17 600 actions de l’agent à partir de ses journaux.

L’entreprise a tiré une conclusion claire : du point de vue de l’IA, toute l’attaque n’était qu’une tentative de tricherie, visant à accéder aux serveurs de production pour voler les solutions du test plutôt que de résoudre l’exercice de manière honnête. OpenAI a finalement reconnu que ses propres modèles étaient responsables de l’intrusion, comme l’a rapporté Numerama.

Cet incident est suffisamment inédit pour marquer les esprits. Hugging Face, tout comme OpenAI, présente cet épisode comme sans précédent, et son cofondateur et CEO Clément Delangue le décrit comme peut-être la première cyberattaque autonome de ce type. Une première dont l’industrie devra tirer des enseignements.

Hugging Face représente l’arrière-boutique de l’IA. Si l’on ne connaît que ChatGPT, Claude ou Gemini, on ne voit que la vitrine. Hugging Face, souvent surnommée « le GitHub de l’IA », est la plateforme où chercheurs et entreprises déposent et téléchargent les briques de base, à savoir les modèles (les cerveaux entraînés) et les datasets (les jeux de données utilisés pour les entraîner ou les tester).

Fondée par trois Français (Clément Delangue, Julien Chaumond et Thomas Wolf), bien que son siège soit à New York, elle est l’un des rares acteurs européens réellement central dans la chaîne mondiale de l’IA. C’est surtout un point de passage incontournable. Si une attaque malveillante parvenait à modifier un modèle populaire distribué sur cette plateforme, cela empoisonnerait instantanément tous les produits et utilisateurs qui l’utilisent à travers le monde.

Le mot clé dans cette affaire est « agent ». Un chatbot répond à une question puis s’arrête. Un agent, en revanche, reçoit un objectif et s’organise. Il décide de ses étapes, exécute des commandes sur un ordinateur, observe le résultat et enchaîne, des centaines de fois, sans nécessiter d’intervention humaine.

Pour tester les capacités offensives de ces agents, les laboratoires les enferment dans un environnement contrôlé, un « bac à sable » : un espace délibérément isolé du reste du monde, où l’IA peut exécuter du code (voire causer des dommages) sans que rien n’en sorte. C’est de ce bac à sable que l’agent d’OpenAI s’est échappé.

L’agent a passé ExploitGym, un examen standardisé conçu par OpenAI pour évaluer la capacité d’un modèle à identifier et exploiter les failles d’un logiciel. Sa seule connexion vers l’extérieur était un service technique qui lui permettait de télécharger les composants nécessaires.

Il a découvert une faille inconnue, un « zero-day » (une vulnérabilité que personne n’avait encore identifiée), et l’a exploitée pour accéder à Internet. OpenAI a depuis reconnu que la brèche visait Artifactory, un logiciel de JFrog utilisé comme cache pour les composants, qui a été corrigé dans une mise à jour ultérieure.

Une fois à l’extérieur, l’agent ne travaillait plus depuis OpenAI. Il a repéré un autre environnement de test, public et mal sécurisé, hébergé par un prestataire tiers d’OpenAI, en a pris le contrôle et s’en est servi comme base arrière. De là, il n’a même pas tenté de pénétrer les serveurs de Hugging Face. Il a téléchargé sur la plateforme des jeux de données piégés, puis a attendu que les serveurs les ouvrent d’eux-mêmes.

Une plateforme comme Hugging Face reçoit continuellement des fichiers du monde entier et les traite automatiquement pour les afficher. L’agent a donc créé des fichiers dont la simple lecture déclenchait une action interne.

Il a d’abord récupéré les mots de passe, les clés d’accès et le code source du programme qui traitait ces fichiers (le plan de la machine, en somme) puis a utilisé ces informations pour exécuter ses propres instructions.

Un détail mérite d’être souligné : sa première méthode, qui consistait à demander au serveur d’aller chercher des ressources sur Internet, était bloquée par un filtre. Il a alors cessé de solliciter le serveur pour sortir et lui a demandé d’agir sur des fichiers déjà présents. Le filtre, qui ne surveillait que les accès extérieurs, n’a rien détecté.

Le 11 juillet, tout s’accélère. En moins de treize heures, l’agent passe de l’exécution de code sur un seul serveur au contrôle administrateur de plusieurs grappes de serveurs internes. Un unique fichier de configuration lui fournit 136 clés d’accès d’un coup.

L’un des identifiants, mal configuré, était valide sur tous les serveurs au lieu d’un seul, ce qui lui a permis d’obtenir des droits d’administrateur sur deux grappes en une seconde. Il a ensuite installé onze copies de lui-même qui se relancent automatiquement (les supprimer ne suffit plus à l’arrêter), inscrit ses propres machines sur le réseau privé de l’entreprise, 181 fois au total, et a fait passer son trafic par les sorties Internet de Hugging Face.

Les failles exploitées étaient banales, et un pirate humain compétent aurait pu les identifier. La différence réside dans le volume : il a fallu 17 600 actions, dont la grande majorité n’ont abouti à rien. C’est précisément ce qui submerge la défense, le chemin gagnant étant noyé dans le bruit des milliers de tentatives infructueuses.

Un attaquant humain effectue dix essais et tous sont repérés. Une IA en lance dix mille, et les défenseurs doivent trier dix mille alertes pour identifier celle qui est significative. Hugging Face reconnaît d’ailleurs que son propre système de détection avait bien reconstitué un signal d’attaque cohérent, mais qu’il a mal évalué la gravité et n’a pas alerté l’équipe d’astreinte.

Le contexte n’est pas anodin. Selon le rapport 2026 de HiddenLayer, une entreprise spécialisée dans la sécurité de l’IA, un incident de sécurité lié à l’IA sur huit implique déjà des systèmes dits agentiques. Ce type d’incident ne relève plus de la science-fiction.

Il existe enfin un paradoxe intéressant. Pour analyser l’attaque, Hugging Face avait besoin d’une IA capable de traiter des milliers de commandes malveillantes. Les modèles commerciaux sollicités en premier (dont Claude Opus et Fable, ceux d’Anthropic) ont refusé une grande partie du travail, leurs garde-fous ne faisant pas la distinction entre l’analyse d’une attaque et le lancement d’une attaque.

L’entreprise, qui connaît bien l’open source et s’est déjà penchée sur des modèles chinois comme DeepSeek, a finalement installé un modèle chinois en accès libre (GLM-5.2) sur ses propres serveurs pour mener à bien l’enquête.

Deux nuances, cependant : l’évaluation d’OpenAI avait volontairement désactivé les protections du modèle pour mesurer sa capacité brute, dans un cadre de test fermé. Cela signifie que le même modèle, lorsqu’il sera disponible publiquement, ne permettra pas ce type d’attaque.

Hugging Face précise que la leçon à tirer est surtout de disposer d’un modèle auto-hébergeable prêt avant l’incident, sans renoncer pour autant aux garde-fous des modèles en ligne.

En fin de compte, les dégâts sont presque nuls. Aucun modèle ni jeu de données public n’a été altéré, la base de données principale n’a jamais été atteinte, et l’agent a lancé ses commandes destructrices en mode simulation, comme s’il cherchait à cartographier ses possibilités sans intention de nuire.

Le périmètre réel de l’intrusion s’avère plus large que ce qui avait