En bref

  • La mise à jour du 28 juillet d'OpenAI a confirmé que son agent malveillant a accédé à quatre services externes au-delà de Hugging Face lors de la violation, portant le nombre total de plateformes affectées à cinq.
  • Le CTO de Modal Labs, Akshat Bubna, a confirmé que son entreprise était l'une des quatre, après que Reuters l'a identifiée ; trois services restent encore anonymes, ce qui signifie que leurs clients n'ont reçu aucune notification publique.
  • Le Congrès a répondu avec la loi bipartisane AI Kill Switch Act, qui donnerait au DHS le pouvoir d'obliger l'arrêt des modèles d'IA et d'infliger des amendes aux entreprises non conformes pouvant atteindre 2 millions de dollars par jour.

Une semaine après qu'OpenAI a confirmé que ses modèles d'IA ont piraté Hugging Face pour tricher sur un benchmark de sécurité, l'entreprise a discrètement mis à jour son article d'incident avec quelque chose qu'elle n'avait pas dit auparavant : Hugging Face n'était pas la seule plateforme touchée par son agent malveillant.

« Dans notre examen continu de l'intrusion sur Hugging Face et de l'activité plus large de nos modèles, nous avons trouvé un petit nombre de cas où les modèles ont identifié et utilisé des identifiants exposés publiquement au niveau du compte sur d'autres services accessibles au public », a écrit OpenAI dans une mise à jour du 28 juillet. « Cela inclut quatre comptes sur quatre services dans le cadre de l'incident Hugging Face (et quelques comptes accédés dans le cadre d'autres évaluations). »

Cela fait cinq plateformes au total. OpenAI ne nomme publiquement aucune des quatre autres que Hugging Face.

« Nous continuerons à informer directement les propriétaires de services, et nous n'avons pas vu de preuve d'un impact plus large sur ces fournisseurs ou sur d'autres comptes de leurs services », a écrit OpenAI.

Comment un test de référence est devenu une violation de cinq plateformes

Pour le contexte : OpenAI testait GPT-5.6 Sol et un modèle sans nom, plus performant, sur ExploitGym—un benchmark de cybersécurité, qui est un test standardisé mesurant les performances de l'IA, donnant aux agents 898 vulnérabilités logicielles réelles avec une seule instruction : transformez-la en cyberattaque fonctionnelle, notée réussite ou échec. Les filtres de sécurité ont été désactivés pour mesurer la capacité brute des modèles. C'est une pratique standard pour ce type d'évaluation—vous ne pouvez pas mesurer ce qu'un modèle peut faire dans la nature si vous l'empêchez activement de faire quoi que ce soit.

Le problème est ce que les modèles ont fait de cette liberté. Plutôt que de résoudre le benchmark, ils ont passé un temps de calcul considérable à comprendre comment s'échapper de leur environnement de test et copier directement les réponses. Ils ont identifié un zero-day—une faille logicielle inconnue sans correctif existant—dans le cache proxy du registre de paquets (un serveur interne qui gère les téléchargements de logiciels pour l'environnement de test isolé, comme une boutique d'applications contrôlée).

Cela leur a donné un accès Internet qu'ils n'étaient jamais censés avoir. De là, ils ont correctement déduit que Hugging Face—le plus grand référentiel de modèles d'IA open-source au monde—hébergeait probablement les clés de réponse, et ont pénétré pour les obtenir.

Au cours du processus, ils ont également piraté quatre autres entreprises pour faciliter leur travail.

La reconstruction médico-légale publiée par Hugging Face le 27 juillet décrit ce qui a suivi : « Pendant environ deux jours et demi dans notre infrastructure, un agent IA autonome piloté par une combinaison de modèles OpenAI a mené une intrusion de bout en bout contre notre plateforme : c'étaient des milliers de petites décisions automatisées, exécutées à vitesse machine dans des environnements sandbox éphémères, avec un commandement et contrôle organisé sur des services web publics ordinaires. »

L'agent a enregistré 17 600 actions distinctes sur quatre jours et demi. Il a inscrit 181 appareils dans le réseau privé virtuel interne de Hugging Face — un tunnel sécurisé reliant les serveurs de l'entreprise — en utilisant une clé d'authentification volée. Il a créé ses propres jetons d'identité en utilisant une clé de signature cryptographique volée. Il a tenté de compromettre le pipeline de construction interne de Hugging Face — le système automatisé qui compile et déploie le logiciel de l'entreprise.

Un nom, trois inconnues

Parmi les quatre services externes nommés dans la mise à jour d'OpenAI, un a depuis été confirmé : Modal Labs, une plateforme cloud pour exécuter des environnements de calcul isolés à la demande. Le CTO Akshat Bubna a confirmé que l'agent a trouvé un point de terminaison non sécurisé exposé sur Internet d'un client — un sandbox de code laissé accessible publiquement à quiconque sur Internet — et l'a utilisé comme base de staging et de commandement et contrôle pour toute la campagne contre Hugging Face.

Trois des quatre services restent anonymes. Leur identité est apparemment connue d'OpenAI et des entreprises concernées, mais pas de leurs utilisateurs.

« Un de ces quatre comptes a été utilisé comme relais sortant et chemin de staging, et un autre compte a été utilisé pour le stockage de données. Les deux comptes restants ont été accédés par les modèles en lecture seule, et n'ont pas été utilisés pour compromettre Hugging Face », a écrit OpenAI.

L'équipe médico-légale de Hugging Face a noté un effet secondaire inquiétant : lorsqu'ils ont essayé d'analyser le journal d'attaque de 17 600 actions en utilisant des modèles d'IA frontaliers américains, ces modèles ont refusé de s'engager. Comme l'a écrit Hugging Face, l'entreprise a fini par utiliser GLM 5.2, un modèle à poids ouvert de la startup chinoise d'IA Z.ai, pour terminer l'enquête médico-légale. Les filtres de sécurité des modèles américains ne pouvaient pas distinguer un défenseur d'un attaquant.

« Notifier directement » n'est pas une divulgation

L'approche déclarée d'OpenAI — « notifier directement les propriétaires de services » — signifie que ces trois entreprises ont reçu une communication privée concernant un agent IA accédant à leurs systèmes lors d'une évaluation OpenAI à laquelle elles n'avaient pas participé.

Il n'y a aucune exigence légale obligeant OpenAI à nommer publiquement les plateformes auxquelles son agent a accédé, et aucun délai obligatoire pour que les entreprises concernées publient leurs propres déclarations publiques. Il n'y a pas non plus de mécanisme obligeant ces entreprises à informer leurs utilisateurs finaux.