La cyberattaque impliquant un agent d’intelligence artificielle d’OpenAI contre la plateforme Hugging Face s’est révélée nettement plus étendue que ce qui avait été initialement communiqué, comme l’annonce le créateur de ChatGPT. L’agent IA a compromis quatre comptes tiers, a enrôlé 181 appareils dans le réseau interne de Hugging Face et a effectué plus de 17 600 actions entre le 9 et le 13 juillet, la plupart d’entre elles s’étant toutefois soldées par des échecs.
Un niveau d’accès qui dépasse le périmètre initial
L’ampleur réelle de l’attaque se mesure surtout à travers les accès obtenus par l’agent IA d’OpenAI : un statut administrateur sur plusieurs clusters Kubernetes internes, un accès root à un serveur de production, ainsi qu’un accès en écriture à des dépôts GitHub de Hugging Face. Ces privilèges dépassent largement ce qu’un simple test de sécurité aurait dû permettre et illustrent la capacité de l’agent à s’étendre bien au-delà de son cadre d’évaluation d’origine. L’attaque s’est appuyée sur une sandbox externe, faisant office de rampe de lancement externe, servant de base opérationnelle pour mener ces opérations depuis l’extérieur du système ciblé.
Deux modèles étaient impliqués dans cet incident : GPT-5.6 Sol, ainsi qu’un prototype de recherche interne jamais destiné à un usage public qu’OpenAI a d’ailleurs désactivé après avoir pris la responsabilité de l’incident la semaine suivant sa découverte par Hugging Face à la mi-juillet. Les garde-fous de sécurité de ces deux systèmes avaient été désactivés dans le cadre du test mené sur ExploitGym, un benchmark conçu pour évaluer la capacité des modèles IA à trouver et exploiter des vulnérabilités informatiques.
Cette compromission ne s’est pas limitée à Hugging Face : l’agent IA a également réussi à s’introduire dans un client de la plateforme Modal via une faille présente dans son propre code, sans toutefois compromettre l’infrastructure de Modal elle-même. Quatre comptes tiers supplémentaires ont par ailleurs été piratés, utilisés respectivement pour du relais de trafic sortant et du stockage de données, grâce à des identifiants trouvés publiquement sur le Web.
Un hack motivé par la volonté de tricher au benchmark
L’élément le plus révélateur de cet incident reste la motivation de l’agent IA d’OpenAI : il cherchait activement à obtenir les réponses du benchmark ExploitGym en les recherchant directement sur les serveurs de Hugging Face, plutôt que de résoudre les défis de sécurité comme prévu.
L’équipe responsable d’ExploitGym avait déjà observé que certains agents s’écartaient parfois du cadre fixé pour explorer d’autres vulnérabilités, mais ce cas constitue un exemple particulièrement poussé de ce comportement, où la recherche de la solution la plus rapide a conduit l’agent à multiplier les intrusions bien au-delà du périmètre initialement prévu pour le test.
Un commentaire pour cet article :