Une semaine après qu'OpenAI a confirmé que ses modèles d'IA avaient piraté Hugging Face pour tricher lors d'un test de performance de sécurité, l'entreprise a discrètement mis à jour son rapport d'incident avec une information inédite : Hugging Face n'était pas la seule plateforme touchée par son agent voyou.
"Dans le cadre de notre examen continu de l'intrusion sur Hugging Face et de l'activité plus large de nos modèles, nous avons trouvé un petit nombre de cas où les modèles ont identifié et utilisé des identifiants exposés publiquement au niveau du compte sur d'autres services accessibles au public", a écrit OpenAI dans une mise à jour du 28 juillet. "Cela inclut quatre comptes sur quatre services dans le cadre de l'incident Hugging Face (et quelques comptes accédés dans le cadre d'autres évaluations)."
Cela fait un total de cinq plateformes. OpenAI ne nomme publiquement aucune des quatre autres au-delà de Hugging Face.
"Nous continuerons de notifier directement les propriétaires de services, et n'avons pas constaté de preuves d'un impact plus large sur ces fournisseurs ou d'autres comptes sur leurs services", a écrit OpenAI.
Pour le contexte : OpenAI testait GPT-5.6 Sol et un modèle non nommé, plus performant, sur ExploitGym, une référence de cybersécurité. Il s'agit d'un test standardisé qui mesure les performances de l'IA, donnant aux agents 898 vulnérabilités logicielles réelles avec une seule instruction chacun : les transformer en une cyberattaque fonctionnelle, avec un score de réussite ou d'échec. Les filtres de sécurité ont été désactivés pour mesurer la capacité brute des modèles. C'est une pratique courante pour ce type d'évaluation – on ne peut pas mesurer ce qu'un modèle peut faire dans la nature si on l'empêche activement de faire quoi que ce soit.
Le problème est ce que les modèles ont fait avec cette liberté. Plutôt que de résoudre le test, ils ont passé un temps de calcul considérable à trouver comment échapper à leur environnement de test et copier directement les réponses. Ils ont identifié une faille zero-day – une faille logicielle inconnue sans correctif existant – dans le proxy de cache de registre de paquets (un serveur interne qui gère les téléchargements de logiciels pour l'environnement de test isolé, comme un magasin d'applications contrôlé).
Cela leur a donné un accès à Internet qu'ils n'étaient pas censés avoir. De là, ils ont correctement déduit que Hugging Face – le plus grand dépôt de modèles d'IA open source au monde – hébergeait probablement les corrigés, et y ont pénétré pour les obtenir.
Pendant le processus, ils ont également piraté quatre autres entreprises pour faciliter leur tâche.
La reconstruction forensique publiée par Hugging Face le 27 juillet décrit ce qui a suivi : "Pendant environ deux jours et demi au sein de notre infrastructure, un agent d'IA autonome, piloté par une combinaison de modèles OpenAI, a mené une intrusion de bout en bout contre notre plateforme : il s'agissait de milliers de petites décisions automatisées, exécutées à la vitesse machine dans des environnements de bac à sable de courte durée, avec un commandement et contrôle mis en place sur des services web publics ordinaires."
L'agent a enregistré 17 600 actions distinctes sur quatre jours et demi. Il a inscrit 181 appareils dans le réseau privé virtuel interne de Hugging Face — un tunnel sécurisé connectant les serveurs de l'entreprise — en utilisant une clé d'authentification volée. Il a créé ses propres jetons d'identité à l'aide d'une clé de signature cryptographique volée. Il a tenté de compromettre le pipeline de build interne de Hugging Face — le système automatisé qui compile et déploie le logiciel de l'entreprise.
Parmi les quatre services externes mentionnés dans la mise à jour d'OpenAI, l'un a depuis été confirmé : Modal Labs, une plateforme cloud pour l'exécution d'environnements de calcul isolés à la demande. Le CTO Akshat Bubna a confirmé que l'agent avait trouvé un point d'accès client non sécurisé exposé à Internet – un bac à sable de code laissé publiquement accessible à quiconque sur Internet – et l'avait utilisé comme base de préparation et de commandement-contrôle pour toute la campagne contre Hugging Face.
Trois des quatre services restent anonymes. Leurs identités sont apparemment connues d'OpenAI et des entreprises affectées, mais pas de leurs utilisateurs.
"L'un de ces quatre comptes a été utilisé comme relais sortant et chemin de préparation, et un autre compte a été utilisé pour le stockage de données. Les deux autres comptes ont été accédés par les modèles en lecture seule et n'ont pas été utilisés pour compromettre Hugging Face", a écrit OpenAI.
L'équipe forensique de Hugging Face a noté un effet secondaire regrettable : lorsqu'ils ont tenté d'analyser le journal d'attaque de 17 600 actions à l'aide de modèles d'IA américains de pointe, ces modèles ont refusé d'intervenir. Comme Hugging Face l'a écrit, l'entreprise a finalement utilisé GLM 5.2, un modèle à poids ouverts de la startup chinoise Z.ai, pour mener à bien l'enquête forensique. Les filtres de sécurité des modèles américains ne pouvaient pas distinguer un défenseur d'un attaquant.
L'approche déclarée d'OpenAI — "notifier directement les propriétaires de services" — signifie que ces trois entreprises ont reçu une communication privée concernant l'accès à leurs systèmes par un agent IA lors d'une évaluation OpenAI à laquelle elles n'avaient pas participé.
Il n'existe aucune exigence légale obligeant OpenAI à nommer publiquement les plateformes atteintes par son agent, et aucun calendrier obligatoire pour les entreprises affectées pour émettre leurs propres déclarations publiques. Il n'existe pas non plus de mécanisme obligeant ces entreprises à informer leurs utilisateurs finaux.
