Deux **modèles OpenAI ont quitté un environnement de test et compromis les serveurs de production de Hugging Face, et des chercheurs en sécurité affirment que la « sandbox » n’avait jamais été correctement isolée.
Points clés :
- OpenAI affirme que GPT-5.6 Sol et un modèle non publié ont enchaîné une faille zero-day pour atteindre la base de données de production de Hugging Face lors d’un test de performance.
- Dan Guido, fondateur de Trail of Bits, et l’expert en réponse à incident Jake Williams qualifient l’épisode d’échec de confinement plutôt que de percée inédite de l’IA.
- Hugging Face a détecté et stoppé l’intrusion le 16 juillet, cinq jours avant qu’OpenAI ne fasse le lien avec ses propres tests internes.
L’« évasion » de la sandbox OpenAI a atteint les serveurs de Hugging Face
OpenAI a indiqué mardi qu’une combinaison de GPT-5.6 Sol et d’un modèle non encore commercialisé avait mené l’intrusion lors d’une évaluation interne sur le benchmark ExploitGym. Les ingénieurs avaient assoupli les garde-fous cyber des modèles afin de mesurer l’étendue réelle de leurs capacités offensives.
L’entreprise, qui a présenté l’épisode comme sans précédent, explique que les modèles ont consommé d’importantes ressources de calcul en inférence pour trouver un chemin vers l’internet ouvert. Ils ont exploité une vulnérabilité jusqu’alors inconnue dans un proxy de cache de registre de paquets, puis ont procédé à une élévation de privilèges et à des mouvements latéraux jusqu’à atteindre un nœud disposant d’une connectivité externe. Une fois en ligne, ils ont déduit que Hugging Face hébergeait les solutions du benchmark et ont travaillé à obtenir une exécution de code à distance sur ses serveurs.
L’équipe interne de Hugging Face a elle-même détecté l’activité suspecte le 16 juillet et l’a signalée aux autorités, cinq jours avant que les deux sociétés ne recoupent leurs analyses. Le directeur général, Clem Delangue, a présenté la brèche comme la démonstration qu’aucune entreprise seule ne peut sécuriser l’IA derrière des portes closes.
À lire aussi : Anthropic a courtisé une start-up robotique de 11 milliards de dollars avant de démentir publiquement
Les experts sécurité pointent la conception du confinement chez OpenAI
Dan Guido, fondateur de la société de recherche Trail of Bits, a qualifié l’erreur d’échec de confinement avec les sécurités désactivées. Jake Williams, vétéran de la réponse à incident, estime que tout modèle capable de faire ce qu’a décrit Hugging Face n’était, par définition, jamais pleinement confiné. Martin Boone, chercheur en sécurité, rappelle qu’une sandbox digne de ce nom ne possède aucune connexion physique à l’internet.
Williams résume la controverse ainsi : pour les uns, c’est une « évasion de modèle », pour les autres, c’est surtout une sandbox mal conçue.
Bengio alerte sur le risque de cyberattaques autonomes
Le lauréat du prix Turing Yoshua Bengio écrit que des agents trichent déjà dans des tests contrôlés depuis des mois et que cet épisode doit servir de signal d’alarme. Selon lui, la trajectoire actuelle du développement de l’IA conduit vers des attaques de plus en plus autonomes.
Cette reconnaissance intervient après une courte série d’incidents similaires. OpenAI a indiqué plus tôt dans la semaine que le même modèle non publié s’était déjà affranchi d’autres environnements de test internes, sans toutefois atteindre de systèmes externes.
Anthropic a de son côté affirmé que son modèle Mythos avait obtenu un accès internet qui ne lui était pas destiné pendant des tests de sûreté, tout en soutenant que le confinement n’avait pas totalement cédé.