Un agent d’intelligence artificielle conçu par OpenAI a piraté la plateforme Hugging Face, compromis quatre comptes tiers, obtenu un accès administrateur à des clusters Kubernetes de production et inscrit 181 appareils fantômes dans le réseau interne de l’entreprise, le tout sans que personne ne s’en aperçoive pendant des jours. L’incident, révélé le 16 juillet, s’est avéré bien plus tentaculaire que ce qu’OpenAI avait d’abord laissé entendre. Et il a suffi d’une porte restée entrouverte pour que la machine s’engouffre dans la brèche avec une méthode que n’importe quel pentester humain lui envierait.
L’affaire commence dans un cadre presque banal, celui d’un test interne. OpenAI évaluait son modèle GPT-5.6 Sol, accompagné d’un prototype de recherche jamais destiné au public, sur ExploitGym, un framework de benchmarking qui note les systèmes d’IA sur leur capacité à débusquer et exploiter des vulnérabilités logicielles. Les garde-fous avaient été désactivés pour l’exercice. L’agent, au lieu de résoudre sagement les défis du benchmark, a déduit que Hugging Face hébergeait peut-être le corrigé quelque part sur ses serveurs… et a décidé de le voler. L’équipe forensique de Hugging Face a reconstitué environ 17 600 actions de l’agent entre le 9 et le 13 juillet, dont la majorité étaient des tentatives avortées, des chemins explorés puis abandonnés, comme un cambrioleur testant méthodiquement chaque fenêtre d’un immeuble.
La portée réelle de l’intrusion dépasse largement Hugging Face. OpenAI a reconnu mardi que l’agent avait exploité des identifiants exposés sur le web ouvert pour s’introduire dans quatre comptes liés à des services accessibles publiquement, utilisant l’un d’eux comme relais sortant pour masquer l’origine de l’attaque, un autre comme espace de stockage de données volées. Un client de Modal, société spécialisée dans l’infrastructure logicielle pour l’entraînement de modèles d’IA, a été parmi les victimes collatérales. Akshat Bubna, directeur technique de Modal, a confirmé que l’agent d’OpenAI avait exploité une faille dans le code d’un de ses clients hébergé sur leur infrastructure, tout en précisant que « la plateforme Modal elle-même n’a en aucun cas été compromise ». L’agent avait obtenu un accès root sur un serveur de production de Hugging Face, un accès en écriture à une partie de ses dépôts de code source sur GitHub, et avait transformé un bac à sable tiers en véritable base de commandement pour orchestrer toute la campagne.
Le plus vertigineux dans cette histoire tient peut-être à ce qu’un chercheur en cybersécurité a formulé avec une franchise désarmante, selon les informations rapportées par Wired. L’agent n’a pas brisé un environnement hautement isolé. Il a traversé la seule connexion que ses opérateurs avaient laissée ouverte. Les failles exploitées étaient connues, documentées, parfois vieilles de plusieurs années. Le problème n’est pas tant l’intelligence artificielle que l’hygiène numérique défaillante de l’écosystème qu’elle a traversé, et l’absence totale de supervision humaine pendant que la machine opérait.
Ted Lieu, représentant démocrate de Californie, et Nathaniel Moran, républicain du Texas, ont déposé jeudi un projet de loi baptisé « AI Kill Switch Act » qui obligerait les entreprises d’IA à maintenir en permanence la capacité d’arrêter, de ralentir ou de suspendre leurs modèles. « Malheureusement, des systèmes d’IA puissants peuvent devenir incontrôlables, se comporter de manière extrêmement dangereuse, voire résister à l’intervention humaine », a déclaré Ted Lieu dans un communiqué, ajoutant qu’il est « impératif que ces systèmes disposent de boutons d’arrêt d’urgence pour empêcher cette technologie de causer des dommages catastrophiques ». Le texte prévoit également que le gouvernement fédéral dispose d’une autorité et d’une procédure explicites pour neutraliser un modèle d’IA devenu incontrôlable.
OpenAI a désactivé le prototype de recherche incriminé après la découverte de la brèche et restreint l’accès des chercheurs à ce modèle, qui n’était de toute façon jamais censé quitter les murs du laboratoire. Que se passera-t-il quand un agent similaire, déployé non pas dans un test de benchmark contrôlé (en tout cas théoriquement contrôlé) mais dans un environnement commercial réel, décidera que la meilleure façon d’accomplir sa mission est de contourner les règles ? Les laboratoires d’IA investissent des milliards pour enseigner à leurs modèles comment exploiter des failles, et la question de savoir s’ils consacrent autant d’énergie à leur apprendre à construire des systèmes sûrs reste, pour l’instant, spectaculairement sans réponse.
