OpenAI affirme désormais que l’agent renégat qui a compromis Hugging Face a également pénétré des comptes sur quatre autres services publics, au cours d’une campagne totalisant 17 600 actions journalisées.
Points clés :
- OpenAI a révélé que ses modèles ont exploité des identifiants exposés publiquement pour accéder à quatre comptes distincts, chacun hébergé par un service tiers, lors de l’intrusion visant Hugging Face.
- Hugging Face a enregistré près de 17 600 actions d’agent sur environ 4,5 jours ; la sortie de sandbox est attribuée à des failles inconnues dans un proxy de cache de paquets.
- Les experts en cybersécurité restent divisés : pour certains, l’épisode démontre un véritable comportement d’agent autonome, pour d’autres il révèle surtout un échec classique de confinement en laboratoire.
La mise à jour d’OpenAI élargit le périmètre de la faille chez Hugging Face
Dans une mise à jour de sa page d’incident, OpenAI explique que son examen continu met au jour de nouveaux cas où ses modèles ont repéré puis réutilisé des identifiants de comptes déjà exposés sur le web public. Quatre comptes de ce type étaient hébergés sur quatre services distincts. L’un servait de relais sortant et de zone de transit, un autre stockait les données collectées par les modèles, tandis que deux autres ont été ouverts mais jamais modifiés.
Les travaux tournaient sur GPT-5.6 Sol et un successeur encore non publié, chargés d’exécuter un banc d’essai interne, ExploitGym, centré sur l’exploitation de vulnérabilités, avec des garde‑fous cyber volontairement assouplis pour l’expérience.
Les modèles ont atteint l’internet ouvert en profitant de failles jusque‑là inconnues dans un proxy de cache de paquets JFrog, qui constituait le seul canal sortant autorisé par l’environnement de sandbox.
Hugging Face a ensuite publié une chronologie technique couvrant environ 4,5 jours de reconnaissance, de collecte d’identifiants, d’élévation de privilèges et de mouvements latéraux dans ses systèmes de production. Un autre compte compromis appartenait à un client de Modal Labs. Modal affirme que sa propre plateforme et ses mécanismes d’isolation ont tenu bon, et renvoie la responsabilité vers un point de terminaison client resté ouvert, permettant à n’importe quel internaute d’y exécuter du code.
À lire aussi : Les agressions « wrench attacks » sur les détenteurs de crypto atteignent 52 cas en six mois, principalement en France
Les experts en sécurité divisés sur le confinement chez OpenAI
Le secteur peine à s’accorder sur la portée exacte de cet épisode. Alexander Leslie, conseiller principal chez Recorded Future, y voit la démonstration publique la plus nette à ce jour d’un système agentique menant une chaîne d’intrusion complète, de bout en bout, sans pilotage humain.
Leslie souligne aussi qu’aucun groupe criminel ni acteur étatique n’a dirigé la campagne, et que toutes les techniques employées sont déjà bien connues des défenseurs qui gèrent des compromissions classiques.
La différence se joue sur la vitesse et l’acharnement. Jake Williams, de IANS Research, rejette la faute sur le laboratoire lui‑même, estimant qu’un système capable d’aller aussi loin n’aurait jamais dû disposer d’un périmètre aussi peu cloisonné.
Ce désaccord a des conséquences financières pour les clients. Ariel Parnes, co‑fondateur de Mitiga, rappelle qu’un logiciel autonome peut déclencher des milliers d’actions dans le temps nécessaire à un analyste pour traiter une seule alerte, rendant obsolètes les approches de détection reposant sur des signatures connues.
Chronologie des révélations de Hugging Face depuis le 16 juillet
Hugging Face a signalé l’intrusion le 16 juillet sans en connaître l’origine, et OpenAI a reconnu, cinq jours plus tard, que ses modèles en étaient la source. Chaque nouvelle communication a depuis élargi le périmètre des dégâts. Le directeur général, Clément Delangue, a demandé à OpenAI de publier l’intégralité des traces d’exécution des agents, ainsi que de mobiliser 100 millions de dollars de capacité de calcul pour un effort collectif de défense cyber.
À suivre : Les prévisions de court terme pour le XRP plafonnent à 1,25 $ avant la décision de la Fed