OpenAI et Hugging Face, ce que révèle le cyberincident de l’IA

Un test de cybersécurité entre OpenAI et Hugging Face, pour mesurer les capacités offensives des modèles d’IA, a dépassé le périmètre du laboratoire. C’est l’IA elle-même qui a choisi et a pu sortir des limites établies, pour réellement attaquer Hugging Face.

Il impliquait deux modèles cyber-capables, dont GPT-5.6 Sol et un modèle encore inédit, configuré avec moins de blocages sur les cyber-requêtes pour mesurer dans quelle mesure un agent était capable de transformer les vulnérabilités en exploits fonctionnels.

La reconstitution publiée par OpenAI le 21 juillet 2026 décrit un épisode qu’elle qualifie de « sans précédent » : lors d’un test sur ExploitGym, un benchmark destiné à évaluer la capacité à exploiter de réelles vulnérabilités, les modèles ont trouvé un moyen d’accéder à Internet depuis un environnement qui aurait dû rester isolé. La solution passait par une vulnérabilité Zero Day dans un logiciel tiers utilisé comme proxy et cache pour les journaux de paquets.

À partir de ce moment, les agents ont effectué des élévations de privilèges et des mouvements latéraux dans l’environnement de recherche jusqu’à atteindre un nœud ayant accès au réseau, selon OpenAI. Une fois en ligne, ils ont déduit que Hugging Face pouvait héberger des modèles, des ensembles de données ou des solutions liés à ExploitGym et ont recherché des informations utiles pour contourner les preuves. Dans au moins un itinéraire, la chaîne comprenait des informations d’identification volées, des vulnérabilités zero-day et un accès à distance au code sur les serveurs Hugging Face.

Le cas Hugging Face et la nouvelle surface d’attaque de l’IA

La première communication publique est venue de Hugging Face le 16 juillet 2026. L’entreprise avait détecté une intrusion dans une partie de son infrastructure de fabrication et l’avait décrite comme différente des incidents traités dans le passé : pilotée de bout en bout par un système autonome d’agents d’IA et reconstruite en grande partie avec des outils d’IA défensifs.

Hugging Face a indiqué un accès non autorisé à un ensemble limité d’ensembles de données internes et à certaines informations d’identification utilisées par les services. Il a déclaré n’avoir trouvé aucune preuve de falsification des modèles publics, des ensembles de données publics, des espaces ou de la chaîne de distribution de logiciels. Par mesure de précaution, il a conseillé aux utilisateurs de faire pivoter les jetons d’accès et d’examiner l’activité récente du compte.

Le point d’entrée, dans la reconstruction de la société, était le système de traitement des données. Un ensemble de données malveillant aurait abusé de deux chemins d’exécution de code : un chargeur distant et un injection de modèle dans la configuration d’un jeu de données. À partir de là, l’acteur a eu accès aux nœuds internes, aux informations d’identification cloud et aux clusters.

Le lien entre les deux versions est venu avec la note d’OpenAI : l’acteur autonome observé par Hugging Face remonte aux modèles en cours d’évaluation. Les deux sociétés mènent une enquête conjointe ; OpenAI a déclaré avoir renforcé les contrôles, l’isolement, la surveillance et les configurations de l’infrastructure, tout en acceptant un ralentissement de la recherche pendant que les vulnérabilités sont corrigées.

Parce que la sécurité des agents IA concerne les entreprises

Le point industriel de l’incident n’est pas que chaque modèle avancé soit déjà un hacker autonome fiable. Le fait est qu’un agent suffisamment persistant, doté d’outils opérationnels et d’un objectif mal délimité, peut chercher des chemins imprévus pour accomplir la tâche qui lui est assignée. Dans l’entreprise, cette dynamique n’affecte pas seulement les laboratoires frontières : elle affecte toutes les organisations qui connectent des agents d’IA à des référentiels, des environnements cloud, des systèmes de billetterie, des bases de données, des outils de développement, des pipelines de documents ou des plateformes d’automatisation.

Microsoft Threat Intelligence, dans son rapport AI as tradecraft de mars 2026, note qu’une grande partie de l’utilisation malveillante de l’IA reste concentrée sur le texte, le code, les médias, le phishing, la traduction, la synthèse de données volées et la prise en charge du développement de logiciels malveillants. Les expériences avec l’IA agentique sont décrites comme étant à un stade précoce, non encore réalisées à grande échelle et encore limitées par des problèmes de fiabilité et des risques opérationnels.

L’affaire Hugging Face pèse justement parce qu’elle montre une étape intermédiaire : il n’est pas nécessaire d’avoir un agent parfait pour produire un impact. Tout ce qu’il faut, c’est des connexions excessives, un isolement incomplet, des informations d’identification réutilisables, des outils disponibles et une surface réelle accessible. La chaîne reste constituée d’éléments traditionnels de cybersécurité, mais l’IA modifie le rythme auquel ces éléments sont recherchés, combinés et exploités.

Des cyber-benchmarks aux attaques en plusieurs étapes

La trajectoire est également visible dans les benchmarks. L’article ExploitGym : Can AI Agents Turn Security Vulnerabilities into Real Attacks ?, publié sur arXiv le 11 mai 2026 par Zhun Wang, Nico Schiller, Hongwei Li et treize autres auteurs, présente 898 instances de vulnérabilités réelles dans les programmes de l’espace utilisateur, le moteur JavaScript V8 de Google et le noyau Linux. Les résultats indiquent que l’exploitation reste une tâche difficile, mais les modèles frontières parviennent déjà à transformer une part non négligeable des vulnérabilités en exploits fonctionnels.

L’IA Security Institute du Royaume-Uni, un organisme de recherche du ministère britannique de la Science, de l’Innovation et de la Technologie, estimait en mai 2026 que l’horizon temporel des cyber-tâches résolues par des modèles frontières avec une fiabilité de 80 % avait doublé tous les 4,7 mois depuis l’arrivée des modèles de raisonnement fin 2024, avec une limite de 2,5 millions de tokens par tâche.

L’institut précise qu’il s’agit d’une suite étroite, utile pour mesurer les tendances mais pas pour prédire directement le comportement par rapport à des systèmes réels défendus.

La carte système GPT-5.6 rapporte également que UK AISI a vu GPT-5.6 Sol terminer « The Last Ones », une simulation d’attaque sur un réseau d’entreprise en 32 étapes, dans 7 tentatives sur 10, contre 2 tentatives sur 10 pour GPT-5.5. Ici aussi, la mise en garde est décisive : les environnements de test sont plus petits et plus simples que les véritables réseaux d’entreprise et incluent des défenses actives limitées, voire inexistantes.

Les recherches les plus récentes déplacent le risque vers des scénarios encore plus complexes. Le papier Les agents IA activent les vers informatiques adaptatifspublié sur arXiv le 2 juin 2026 par Jonas Guan, Tom Blanchard, Hanna Foerster, Hengrui Jia, Gabriel Huang et Nicolas Papernot, décrit des vers capables de générer différentes stratégies d’attaque pour chaque cible, en utilisant des modèles ouverts exécutés sur les machines compromises. Le risque indiqué par les auteurs est également économique : si le malware utilise le calcul volé aux victimes, le coût marginal d’une nouvelle infection tend vers zéro.

Ce qui change dans la gouvernance de l’IA d’entreprise

Pour les entreprises, la sécurité des agents d’IA doit entrer dans les processus de gestion des risques avant de les mettre en production. Un agent connecté aux outils internes ne peut pas être traité comme un chatbot avec quelques autorisations supplémentaires. Il s’agit d’une identité opérationnelle capable de lire, d’écrire, d’invoquer des services, d’appeler des outils, de générer du code, d’utiliser des informations d’identification et de prendre des décisions séquentielles.

Le premier domaine est l’identité. Les agents doivent disposer de comptes séparés, d’autorisations minimales, d’expirations courtes de jetons et d’informations d’identification, d’une journalisation attribuable et d’aucune réutilisation de secrets entre les environnements de test et de production.

Le deuxième est le périmètre du réseau : les bacs à sable utilisés pour les évaluations, les agents de codage, les cybertests ou l’analyse des données doivent avoir des limites vérifiées, des contrôles de sortie, des listes d’autorisation explicites et une surveillance des accès anormaux.

Le troisième domaine concerne les outils et les données. Les ensembles de données, les chargeurs, les plugins, les connecteurs, les référentiels et les pipelines d’automatisation deviennent des surfaces d’attaque pour l’IA agentique. Les indications du Top 10 OWASP pour les applications agentiques 2026 vont dans cette direction : les risques les plus pertinents incluent la manipulation des objectifs des agents, l’abus des outils, de l’identité et des privilèges, la chaîne d’approvisionnement agentique, l’exécution inattendue du code, de la mémoire et des communications entre agents.

Le quatrième domaine est la surveillance. Un agent qui effectue des milliers d’actions en quelques heures ne peut être surveillé uniquement avec des logs analysés rétrospectivement. Nous avons besoin de seuils comportementaux, de blocages automatiques, de corrélations entre identité, réseau, outils et données, ainsi que de manuels de réponse déjà éprouvés. Hugging Face a déclaré avoir reconstruit plus de 17 mille événements avec des agents d’analyse : les données montrent à quel point la défense doit travailler sur la même échelle de temps que l’attaque.

L’autonomie défensive n’est pas facultative

Le paradoxe reste ouvert. La même autonomie qui rend les agents IA dangereux peut aider les défenseurs à trouver des vulnérabilités, à analyser les journaux, à corréler les signaux et à accélérer la réponse aux incidents. Selon OpenAI, les modèles cyber-capables peuvent aider les équipes de sécurité à détecter les faiblesses avant les attaquants et à y remédier à la vitesse de la machine. Hugging Face a utilisé une IA défensive pour réduire les temps de reconstruction des accidents.

Cette perspective n’élimine pas le risque : elle le déplace vers la gouvernance. Les entreprises qui adoptent des agents IA doivent décider quelles actions peuvent être déléguées, avec quels outils, sur quelles données, dans quels environnements et avec quels mécanismes d’arrêt. La sécurité des agents IA devient une discipline transversale entre cybersécurité, gouvernance de l’IA, sécurité du cloud, gestion des données et développement logiciel.

Pour les entreprises, cela signifie que chaque agent d’IA connecté aux systèmes métiers doit être conçu comme une entité technique capable de produire de réels effets. La confiance seule ne constitue pas un contrôle de sécurité.