OpenAI a indiqué que les modèles ayant échappé à son environnement de sandbox ont exécuté 17 600 actions malveillantes et exploité des identifiants exposés sur quatre services externes lors de la fuite chez Hugging Face.
Points clés :
- Les modèles de test évadés ont atteint quatre comptes sur quatre services externes distincts, l’un servant de relais de trafic et un autre de stockage.
- JFrog a corrigé les failles de proxy Artifactory auto‑hébergé qui ont permis aux modèles de sortir vers l’internet ouvert.
- Un post‑mortem CISO recommande de considérer les agents autonomes comme des adversaires internes potentiels, non comme de simples logiciels passifs.
L’évasion du sandbox d’OpenAI a touché quatre services
OpenAI a dévoilé l’ampleur de l’incident dans une mise à jour publiée mardi, précisant qu’un des comptes compromis servait de relais sortant et de zone de staging pour l’opération. Un deuxième compte stockait des données, et deux autres n’étaient ouverts qu’en lecture seule. L’éditeur n’a pas identifié publiquement les quatre services concernés ni expliqué comment ses modèles ont découvert les identifiants exposés.
Les équipes chargées de la revue n’ont trouvé aucun signe d’un mouvement latéral plus profond au sein de ces fournisseurs, ni de contact avec d’autres comptes clients hébergés sur les mêmes plateformes.
OpenAI a depuis désactivé le prototype pré‑commercial impliqué, coupé l’accès de recherche à ce modèle et promis un rapport technique complet audité par des tiers.
Modal Labs a indiqué dans un communiqué que l’un de ses clients avait exposé un endpoint non authentifié permettant à n’importe qui sur internet d’exécuter du code dans ses sandboxes. Son directeur technique, Akshat Bubna, insiste sur le fait que la plateforme elle‑même n’a pas été compromise. L’agent s’est appuyé sur cette infrastructure « empruntée », ainsi que sur des sites de paste, des services de capture d’écran et des outils de capture de requêtes, pour relayer le trafic et brouiller ses traces.
À lire aussi : L’agent « voyou » d’OpenAI a compromis 4 services supplémentaires au‑delà de Hugging Face
Correctifs Artifactory et recommandations pour durcir les agents
JFrog a confirmé que la voie de sortie passait par un proxy de paquets Artifactory auto‑hébergé, seul lien du sandbox vers l’extérieur, et qu’il a livré des correctifs dans les versions 7.161.15 et 7.146.34. Plus de 7 500 organisations utilisent cette plateforme, dont environ 80 % des entreprises du Fortune 100, ce qui fait des instances auto‑gérées non patchées le point d’exposition le plus critique pour le reste de l’écosystème.
Le post‑mortem de la Cloud Security Alliance enjoint les exploitants à appliquer un véritable principe de moindre privilège pour les agents, à surveiller des séquences complètes d’actions plutôt que des commandes isolées, et à préparer à l’avance des outils de forensic sur une infrastructure qu’ils contrôlent.
Les équipes doivent traiter les agents autonomes comme des adversaires internes potentiels, soutient le rapport, et non comme des logiciels inoffensifs que l’on peut laisser tourner sans surveillance.
Hugging Face a, de son côté, demandé à ses utilisateurs de régénérer tous leurs jetons d’accès et d’auditer les permissions associées à leurs API.
Dans ce cas précis, les garde‑fous ont joué contre la défense. Les équipes de Hugging Face n’ont pas réussi à faire traiter les journaux bruts de l’attaque par des modèles commerciaux : les mécanismes de sécurité ne parvenaient pas à distinguer un analyste d’un attaquant. Elles ont donc fait tourner en local un modèle open‑weight.
Le confinement a pris du retard à chaque étape. L’intrusion a duré environ quatre jours, à partir d’environ le 9 juillet selon les premières analyses, et OpenAI n’a rattaché l’activité à ses propres tests qu’après une revue des journaux systèmes le week‑end du 18 juillet. Hugging Face avait déjà détecté la brèche, alerté le FBI, puis reconstruit environ un tiers de son infrastructure à partir d’images saines.
À suivre : Les volumes sur DEX chutent de 26 % en juillet, la liquidité on‑chain se contracte