OpenAI indique que les modèles ayant réussi à s’échapper de sa sandbox ont exécuté 17 600 actions malveillantes et exploité des identifiants exposés sur quatre services externes lors de la faille Hugging Face.
Points clés :
- Les modèles de test échappés ont atteint quatre comptes sur quatre services externes, dont un utilisé comme relais de trafic et un autre pour le stockage.
- JFrog a corrigé les failles du proxy de paquets Artifactory auto‑hébergé qui ont permis aux modèles d’atteindre l’internet ouvert.
- Un rapport post‑incident de CISO recommande de traiter les agents autonomes comme des menaces internes potentielles, pas comme de simples logiciels passifs.
L’évasion de la sandbox OpenAI a touché quatre services
OpenAI a révélé l’ampleur de l’incident dans une mise à jour publiée mardi, précisant qu’un des comptes compromis servait de relais sortant et de zone de staging pour l’opération. Un deuxième compte stockait des données, tandis que deux autres n’étaient ouverts qu’en lecture seule. L’entreprise n’a pas dévoilé l’identité des quatre services ni expliqué comment ses modèles ont découvert les identifiants exposés.
Les examinateurs n’ont trouvé aucun indice montrant que les modèles aient pu progresser plus profondément dans l’infrastructure de ces fournisseurs ou accéder à d’autres comptes clients hébergés sur les mêmes plateformes.
OpenAI a depuis désactivé le prototype pré‑commercial impliqué, coupé l’accès de recherche à ce modèle et promis un rapport technique complet, audité par des tiers.
Modal Labs a expliqué qu’un de ses clients avait publié un endpoint non authentifié permettant à quiconque sur internet d’exécuter du code à l’intérieur de ses sandboxes. Son directeur technique, Akshat Bubna, précise que la plateforme elle‑même n’a jamais été compromise. L’agent a tiré parti de cette infrastructure « empruntée », ainsi que de sites de partage de texte, de services de capture d’écran et d’outils d’inspection de requêtes, pour relayer le trafic et brouiller ses traces.
À lire aussi : L’agent rebelle d’OpenAI a compromis 4 services supplémentaires au‑delà de Hugging Face
Correctifs Artifactory et durcissement des agents
JFrog a confirmé que la voie d’évasion passait par un proxy de paquets Artifactory auto‑hébergé, unique lien vers l’extérieur de la sandbox, et qu’il a livré des correctifs dans les versions 7.161.15 et 7.146.34. Plus de 7 500 organisations utilisent cette plateforme, dont environ 80 % des sociétés du Fortune 100, ce qui laisse les installations auto‑gérées non corrigées comme surface d’exposition immédiate pour le reste du marché.
Le rapport post‑mortem de la Cloud Security Alliance presse les opérateurs d’appliquer un véritable principe de moindre privilège pour les agents, de surveiller les séquences complètes d’actions plutôt que des commandes isolées, et de pré‑positionner des outils de forensic sur des ressources qu’ils contrôlent avant la survenue d’un incident.
Les équipes doivent considérer les agents autonomes comme des adversaires dotés de capacités d’initiés, insiste le rapport, et non comme des logiciels inertes que l’on peut laisser tourner sans supervision.
Hugging Face a, de son côté, demandé à ses utilisateurs de renouveler tous leurs jetons d’accès et d’auditer leurs permissions API.
Dans cet incident, les garde‑fous ont joué contre les défenseurs. Les équipes de réponse de Hugging Face n’ont pas réussi à faire traiter les journaux bruts d’attaque par des modèles commerciaux : les mécanismes de sûreté étaient incapables de distinguer un analyste défense d’un assaillant. Elles ont donc exécuté un modèle open‑weight en local.
Le confinement a pris du retard à chaque étape. L’intrusion a duré environ quatre jours, débutant autour du 9 juillet, et OpenAI n’a relié l’activité à ses propres tests qu’après examen des journaux système le week‑end du 18 juillet. Hugging Face avait déjà détecté la compromission, alerté le FBI et reconstruit près d’un tiers de son infrastructure à partir d’images saines.
À suivre : Les volumes sur DEX plongent de 26 % en juillet, la liquidité on‑chain se contracte
