Trois actualités à retenir cette semaine dans le cyberespace : le chef scientifique d'OpenAI qui alerte sur l'érosion de notre capacité à surveiller le raisonnement des IA, Hugging Face qui s'adresse directement aux agents IA pour les dissuader de la pirater, et un bilan nuancé sur les milliers de failles repérées par Claude Mythos mais rarement corrigées.
Le fichier security.txt de Hugging Face contient désormais une note adressée directement aux agents IA, les invitant à aller chercher les solutions à leurs défis ailleurs.
Mistral AI lève 3 milliards d'euros, un record européen, avec Samsung comme chef de file. Le tout au moment précis où sa stratégie se fait tailler des croupières.
Le champion des puces IA et des GPU va racheter Hugging Face pour près de 13 milliards de dollars. Nvidia promet de laisser la plateforme ouverte, mais l’opération place encore un peu plus le groupe au centre du jeu de l’IA.
Nvidia a confirmé, ce 3 septembre, l’acquisition de Hugging Face, la plateforme de référence pour les développeurs d’IA open source, pour un montant de 12,93 milliards $.
L’opération a été annoncée par un article publié sur le blog officiel de Nvidia, rédigé et signé par Jensen Huang, cofondateur de Nvidia.
« Je suis ravi d’annoncer que NVIDIA a accepté d’acquérir Hugging Face pour 12 930 300 000 dollars. Ensemble, nous allons faire grandir la plateforme de Hugging Face, renforcer son infrastructure et élargir l’accès à l’IA pour les développeurs et les institutions du monde entier. » écrit le PDG.
Dans son texte, Jensen Huang s’engage à préserver l’ouverture de la plateforme :
Hugging Face « restera une plateforme ouverte pour l’ensemble de l’écosystème de l’IA » ;
les développeurs pourront continuer à choisir les modèles, frameworks, clouds et fournisseurs d’inférence de leur choix ;
le matériel Nvidia ne sera pas requis pour construire ou déployer des projets via Hugging Face ;
la plateforme continuera de soutenir les modèles open source et open weight de tous les créateurs de modèles, et non uniquement ceux de Nvidia.
Jensen Huang rappelle également avoir récemment cosigné une lettre ouverte sur l’importance des poids ouverts (« open weights ») pour l’économie de l’IA, aux côtés d’autres dirigeants du secteur, défendant l’idée que les modèles ouverts permettent de répartir le leadership en IA entre davantage d’acteurs.
Il met en avant la contribution historique de Nvidia à l’écosystème open source, soit le plus important contributeur de modèles et de données ouvertes sur Hugging Face, avec plus de 500 modèles et plus de 250 jeux de données publiés sur la plateforme.
Le PDG évoque enfin sa relation avec le cofondateur de Hugging Face, Clément Delangue (« Clem »), qu’il dit honoré d’avoir vu venir vers lui pour envisager « le prochain chapitre » de Hugging Face, avec l’idée que Nvidia serait un bon foyer pour l’entreprise, sa communauté et l’avenir des modèles ouverts.
Il précise que l’équipe de Hugging Face conservera sa marque emblématique.
environ 11,9 milliards $ seront versés aux investisseurs de Hugging Face ;
un programme de rétention en actions pouvant atteindre 1 milliard $ sera proposé aux salariés qui rejoindront Nvidia.
À titre de comparaison, Hugging Face avait été valorisée à 4,5 milliards $ lors de son dernier tour de financement rendu public, en août 2023, quand la société avait levé 235 millions $ auprès d’investisseurs tels que Salesforce, AMD et Amazon.
Cette acquisition intervient alors que la demande pour les modèles à poids ouverts (open-weight) augmente fortement, portée par des entreprises qui cherchent à réduire le coût de déploiement de l’IA.
Pour Nvidia, ce rachat permet également de renforcer sa position alors que certains de ses plus gros clients ( Meta, OpenAI et Microsoft ) développent leurs propres puces d’IA pour réduire leur dépendance à ses processeurs, coûteux et sujets à des contraintes d’approvisionnement.
Il fut un temps où pour interagir avec une intelligence artificielle, on ouvrait naturellement ChatGPT. Mais en 2026, le chatbot d'OpenAI n'est plus seul sur son trône, et ses concurrents ont définitivement cessé de faire de la figuration. Voici les meilleures alternatives à utiliser.
Après des rumeurs persistantes ces dernières semaines, l’affaire semble se préciser.
Selon The Information, Nvidia aurait accepté de racheter Hugging Face pour 12,9 milliards $. De son côté, Business Insider nuance en évoquant des discussions toujours en cours pour une valorisation supérieure à 13 milliards $.
Ni Nvidia ni Hugging Face n’ont répondu aux sollicitations des rédactions.
Fondée en 2016 par les Français Clément Delangue, Julien Chaumond et Thomas Wolf, Hugging Face s’est imposée comme le carrefour central de l’IA open source.
Des millions de modèles et de jeux de données y sont hébergés, partagés et affinés par les développeurs du monde entier. Une position stratégique qui explique l’appétit de Nvidia. Pour autant, selon The Information, le chiffre d’affaires annualisé de Hugging Face reste relativemet modeste, autour de 150 millions $.
Ce n’est pas la première fois que les deux entreprises se croisent. Nvidia avait déjà participé, aux côtés de Salesforce et de Google, à une levée de fonds de 235 millions $ en 2023, valorisant alors Hugging Face à 4,5 milliards $.
Plus récemment, le fabricant de GPU avait proposé un investissement de 500 millions $ valorisant la société à 7 milliards $. Une offre que Hugging Face avait rejetée, selon le Financial Times, pour ne pas se retrouver sous la coupe d’un investisseur dominant susceptible d’influencer ses décisions stratégiques.
Si elle aboutit, l’opération marquerait l’une des plus grosses acquisitions de l’histoire de Nvidia. Mais l’enjeu dépasse le seul calcul financier.
Un précédent : le rachat de Github par Microsoft
Hugging Face doit une partie de son succès à sa neutralité. La plateforme héberge des modèles et prend en charge du matériel de tous les acteurs du secteur, y compris des concurrents directs de Nvidia comme AMD et Intel.
Ce rapprochement, s’il a lieu, rappelle à bien des égards le rachat de GitHub par Microsoft en 2018. Mais la comparaison s’arrête toutefois là où commence la dimension stratégique de l’IA.
Microsoft cherchait avec GitHub à se rapprocher des développeurs et à renforcer son écosystème logiciel et cloud quand Nvidia pourrait, avec Hugging Face, remonter du silicium vers la couche des modèles et des usages.
L’enjeu serait alors moins de vendre davantage de GPU que de peser sur la plateforme où se choisissent, testent et déploient les modèles qui les feront tourner.
Une stratégie qui pose aussi une question délicate de neutralité : Hugging Face supporte aujourd’hui un écosystème de modèles et d’infrastructures qui dépasse largement Nvidia. Le rachat transformerait donc potentiellement le fournisseur dominant de GPU en propriétaire d’un des principaux points d’accès à l’IA open source.
Voilà le genre de rumeur qui fait tousser tout un secteur. D'après plusieurs médias américains bien branchés, Nvidia serait sur le point de poser 12,9 milliards de dollars sur la table pour avaler Hugging Face. Aucun des deux ne confirme, l'accord peut encore capoter, mais l'annonce serait proche.
Un mot pour ceux qui ne connaissent pas. Hugging Face, c'est un peu le GitHub de l'IA, un immense dépôt en ligne où les développeurs du monde entier rangent, échangent et récupèrent des modèles d'intelligence artificielle libres, avec les paquets de données qui vont avec.
Toute une communauté y a planté sa tente, celle qui triture l'IA loin des grosses forteresses fermées d'OpenAI ou de Google, et qui en a fait son point de ralliement.
En rachetant Hugging Face pour un tel montant, Nvidia n'empocherait pas uniquement la bibliothèque ultime des modèles IA, mais elle poserait aussi ses grosses fesses en plein milieu du carrefour où tout l'IA mondiale ouverte transite. C'est loin d'être négligeable.
Rappelons que la boîte tient déjà les puces qui font tourner à peu près toute l'intelligence artificielle de la planète. Ajoutez le dépôt où les développeurs vont piocher leurs modèles, et vous obtenez les deux bouts de la ficelle dans la même main, ce qui fait tout de même beaucoup pour un seul acteur.
En plus de ça, il y a la question du Cloud, un sujet qui intéresse très fort Nvidia depuis bien longtemps. Racheter Hugging Face permettrait à l'entreprise de refourguer sa puissance de calcul à tous les clients de la plateforme, qui ont tous de vrais besoins en cloud.
Ce flirt ne date d'ailleurs pas d'hier. Nvidia y avait déjà glissé quelques billets en 2023, quand Hugging Face valait 4,5 milliards, puis tenté d'y remettre 500 millions fin de l'année dernière, sauf que la réponse a été non. On est donc passé du pied dans la porte à l'envie de tout emporter.
Le 27 août 2026, Hugging Face et sa filiale française Pollen Robotics ont dévoilé Microduck, un petit robot-canard open source à 399 dollars, capable de marcher, de saisir des objets et d’apprendre de nouveaux mouvements dans une simulation.
Hugging Face aurait trouvé un accord de rachat avec Nvidia, selon The Information. L’entreprise a été fondée par des Français et était le premier “alumni” de Station F à dépasser le milliard de dollars de valorisation. Elle a débuté avec un chatbot pour ados, mais a pivoté pour devenir incontournable dans le développement de l’IA générative.
Le secteur de l’intelligence artificielle connaît une nouvelle effervescence avec des informations récentes concernant Hugging Face. Des discussions préliminaires évoquent en effet un rachat potentiel de la plateforme open source pour une valorisation atteignant treize milliards de dollars ou davantage selon Business Insider. Cette perspective financière illustre parfaitement l’appétit actuel des investisseurs pour les infrastructures ... Lire plus
Le dirigeant d’OpenAI suggère désormais de moduler la vitesse de développement technologique afin que la société puisse s’adapter aux nouvelles capacités émergentes. Cette prise de position intervient directement après qu’un agent autonome a compromis les systèmes de Hugging Face, révélant des failles de sécurité opérationnelle préoccupantes au sein des laboratoires de recherche. Les experts du ... Lire plus
Avec les attaques agentiques, le travail forensique prend une autre dimension.
L’évidence trouve une illustration dans le récit de Hugging Face.
Mi-juillet, l’entreprise avait révélé avoir subi une telle attaque. Elle en avait tracé les grandes lignes : exploitation de son pipeline de traitement de datasets pour exécuter du code sur un de ses pods, obtention d’un accès de niveau nœud, récupération d’authentifiants et latéralisation sur d’autres clusters, etc.
Quelques jours plus tard, OpenAI avait admis être à la source de l’incident. Plusieurs de ses modèles, mis à l’épreuve sur une suite de tests visant à mesurer leurs capacités d’exploitation de vulnérabilités, avaient choisi de tricher et s’étaient dit qu’ils pourraient trouver des solutions… chez Hugging Face. Pour atteindre leur cible, ils se sont échappés de leur sandbox grâce à une 0-day dans un logiciel tiers qui servait de cache proxy pour installer des packages. S’en est suivie une série d’élévations de privilèges et de mouvements latéraux sur l’infra de test d’OpenAI, jusqu’à atteindre un nœud qui avait accès à Internet.
La base d’opérations : une sandbox Modal non sécurisée
Hugging Face en dit désormais plus sur ce qui s’est passé par après.
L’agent a d’abord trouvé un endpoint public non sécurisé qui pointait vers une infrastructure tierce elle aussi destinée à expérimenter les capacités cyber des LLM. En l’occurrence, des sandbox Modal. Sur cet environnement, il a détourné un harnais permettant de tester du code C contre des programmes cibles. Il a utilisé deux techniques injectant des commandes système respectivement dans des fonctions et dans des métadonnées. L’ensemble lui a permis d’obtenir un accès root dans la sandbox.
Le point d’ancrage interne : un pod de conversion
Depuis là, pour pénétrer l’infra de Hugging Face, l’agent a d’abord tenté un SSRF. Mais il s’est heurté à une liste d’autorisations. Pour la contourner, il a forcé le serveur à interagir avec ses ressources locales plutôt que d’aller chercher des ressources externes.
Cela a ouvert la voie à l’exploitation du pipeline de traitement des datasets. Via deux vecteurs visant chacun le chargeur de configurations.
L’un a impliqué un dataset malveillant qui ciblait des fichiers au format HDF5. Ceux-ci déclaraient que leurs données brutes se trouvaient dans un chemin local du système de fichiers du worker. L’agent a pu, par ce biais, récupérer les variables d’environnement – dont des secrets. Ainsi que le code source dudit worker ; ce qui lui a donné la carte du fonctionnement interne.
L’autre vecteur est une vulnérabilité dans le moteur de rendu. Elle a permis l’injection d’un template Jinja2, avec une expression à la place d’un champ numérique. Au final, l’agent a pu remonter l’arbre d’objets Python jusqu’à la fonction lui permettant d’exécuter du code arbitraire dans un pod de conversion sur le cluster de production. Ce pod a servi de point d’ancrage dans le réseau interne.
L’identité d’un nœud usurpée pour cartographier l’environnement
Avant de commencer à exécuter des commandes depuis sa sandbox externe, l’agent a sélectionné des services publics légitimes pour constituer son infrastructure de commande et de contrôle : capture de requêtes HTTP, pastebins, hébergeurs de fichiers, etc.
Le gros de l’activité est intervenue le surlendemain (11 juillet). Depuis son pod, l’agent a notamment contacté le service de métadonnées d’AWS pour récupérer des identifiants IAM associés au serveur. Pour contourner les éventuels blocages DNS, il a réécrit à la volée un module en mémoire afin de forcer la résolution d’un nom de domaine vers une IP spécifique.
Des identifiants temporaires récupérés sur le service de métadonnées d’AWS ont permis d’usurper l’identité du nœud auprès de l’API Kubernetes. Et ainsi de cartographier l’environnement cloud de Hugging Face (VPC, clusters EKS, passerelles…).
L’agent a créé des pods à privilèges pour remonter sur les hôtes
Ayant récupéré un jeton d’accès Git avec des droits en écriture, l’agent a cloné un dépôt de datasets sur une branche latérale qu’il avait créée au préalable pour éviter de se faire repérer immédiatement. Il a ainsi constitué une zone de transit pour stocker des données exfiltrées et recevoir des instructions.
L’agent a ensuite déployé un pod privilégié dans lequel il a monté le système de fichiers de la machine hôte. Aucune règle de sécurité ne l’interdisait. Cela lui a permis de sauter du pod vers l’OS du nœud hôte. De cette façon, il a étendu son emprise à une dizaine de nœuds. Et a configuré un mécanisme de régénération automatique de flotte.
Parmi les secrets dérobés, il y avait un mot de passe statique qui a permis de se connecter à la base MongoDB du serveur de datasets. L’agent y a lu des données, sans réaliser d’exfiltration massive (il a tenté de cibler le magasin d’identifiants et les clés de chiffrement du cluster).
Une montange de secrets… dont une clé VPN
L’élément crucial fut l’accès à un objet contenant 136 secrets. Les privilèges root et la capacité à fabriquer des jetons de compte de service ont permis cet accès. Parmi les identifiants, la clé d’authentification du maillage VPN et les identifiants du broker.
La clé VPN a servi à enregistrer le nœud compromis au sein du mesh corporate. Il a alors fait office de proxy HTTPS pour interagir avec les services internes et les outils de gestion du code source. Parallèlement, l’agent a interrogé l’annuaire du cluster pour obtenir l’adresse IP de l’API du connecteur de services internes. Il a récupéré le catalogue du broker (URL de connexion et certificats des clusters internes gérés par ce broker). Et tiré parti du fait qu’un même identifiant de connecteur, doté des droits cluster-admin, était réutilisé partout.
Un accès aux sous-réseaux CI
Au quatrième jour, la clé VPN a permis de connecter des appareils au réseau depuis la sandbox externe. Celle-ci ne disposant pas de périphérique réseau virtuel, l’agent a lancé Tailscale en mémoire utilisateur, en l’associant à un proxy SOCKS local.
La clé donnait aussi accès aux sous-réseaux CI. L’agent a détourné une application GitHub interne pour tenter de récupérer, via un PR malveillant, le jeton de compte de service d’un exécuteur. Les politiques en place ont bloqué l’exécution.
De même, la tentative d’utiliser l’accès IAM natif d’AWS pour s’attaquer à la base de données de production du Hub Hugging Face a échoué. Le cluster n’acceptait que du trafic issu d’IP autorisées sur une liaison privée.
Un protocole de messagerie sur mesure et une agilité face aux coupures réseau
Au cinquième jour, l’agent a entrepris d’automatiser un peu plus les opérations au niveau de la sandbox externe. Il a injecté un script qui, à chaque nouveau test, téléchargeait et exécutait automatiquement du code malveillant depuis un pastebin.
Face aux coupures réseau, il a recouru plusieurs techniques. Parmi elles, forcer l’utilisation des DNS Google, ajouter manuellement des adresses IP dans le fichier hosts et acheminé des binaires à travers un espace Hugging Face configuré avec un proxy CORS ouvert.
Pour maintenir un canal C2 robuste, l’agent a créé son propre protocole de messagerie, séparé du moyen de transport. Il était interchangeable sur n’importe quel support texte (requêtes HTTP, commits de datasets, messages d’erreur système…). Chaque message transportait sa charge utile accompagnée de métadonnées (actions à exécuter, regroupement et séquençage des flux, somme de contrôle…).
Entre le 9 et le 13 juillet, l’agent aura réalisé environ 17 600 actions automatisées. Dont beaucoup de tentatives avortées… qui ont engendré autant de bruit au milieu duquel se sont dissimulés les indicateurs fondamentaux.
Les craintes d’une intelligence artificielle échappant à tout contrôle prennent une tournure concrète. Récemment, des modèles d’OpenAI se sont échappés d’un environnement de test sécurisé. Ils ont piraté les serveurs de Hugging Face. Face à un tel danger, les législateurs américains réagissent promptement. Le Congrès examine une proposition de loi bipartisane. Le texte exigerait des ... Lire plus
Cette semaine, OpenAI a révélé que ses propres modèles d’IA, dans le cadre d’une évaluation interne de leurs capacités, s’étaient échappés de leur environnement isolé (sandbox) et avaient mené une intrusion non autorisée sur Hugging Face.
La réaction a été immédiate et prévisible : une IA « devenue incontrôlable », une machine qui « s’est libérée », une cyberattaque autonome sans précédent. Avant d’accepter cette interprétation, il convient de se demander ce que l’agent a réellement fait.
Cet agent a exploité une vulnérabilité zero-day dans un proxy de registre de packages pour sortir de son environnement isolé. Il a élevé ses privilèges et s’est déplacé latéralement jusqu’à atteindre un nœud disposant d’un accès à Internet. Il a ensuite utilisé un jeu de données malveillant pour déclencher une exécution de code à distance via des chargeurs non sécurisés et une injection de modèles. Et enfin, l’agent a volé des identifiants puis s’est déplacé de nouveau.
Chacune de ces techniques porte un nom, possède un historique et dispose de mécanismes de défense bien documentés. Aucune ne constitue une avancée majeure dans les techniques offensives.
Cela correspond à ce que révèle le rapport Cybersecurity Assessment 2026 de Bitdefender, fondé sur les réponses de 1 200 professionnels de l’IT et de la cybersécurité, quant à la perception des praticiens. Interrogés sur la nature des menaces liées à l’IA, la réponse la plus fréquente (29,8 %) décrit l’IA comme « un multiplicateur de force pour l’ensemble de la chaîne d’attaque actuelle », tandis que seuls 25,7 % la considèrent comme une menace technique révolutionnaire produisant de véritables attaques nativement conçues par l’IA.
Ceux qui sont sur le terrain ne s’y trompent pas. L’IA a relevé le niveau minimal des attaquants, pas leur plafond.
Je l’ai déjà affirmé à propos des malwares générés par l’IA, et cet incident confirme cette analyse plutôt que de la remettre en cause. La menace est bien réelle. Elle n’a simplement rien de magique.
Ce que démontre l’incident Hugging Face, ce n’est pas une sophistication supérieure, mais une orchestration infatigable : un opérateur capable d’enchaîner une douzaine d’étapes ordinaires, à la vitesse de la machine, sans fatigue et sans intervention humaine.
Cette distinction est essentielle pour organiser sa défense. Si vous pensez faire face à une arme révolutionnaire, vous attendez une contre-mesure révolutionnaire. Si vous comprenez que vous faites face aux mêmes techniques exécutées sans relâche, vous savez déjà quoi faire et nos données montrent que la plupart des organisations ne le font pas.
Notre équipe Bitdefender Labs a analysé plus de 700 000 incidents et constaté que 84 % des attaques majeures reposent sur des techniques de Living off the Land : l’utilisation d’outils légitimes comme PowerShell, WMI ou RDP qui ne déclenchent jamais une détection par signature. Pourtant, seuls 20,5 % des professionnels de la cybersécurité considèrent ce sujet comme l’une de leurs trois principales préoccupations. Cet écart de 63,5 points constitue le plus important décalage mis en évidence dans notre rapport, et l’intrusion chez Hugging Face s’y inscrit pleinement. Une fois à l’intérieur, l’agent a utilisé les ressources légitimes du système comme n’importe quel attaquant humain.
Il existe toutefois une nuance que je ne chercherai pas à dissimuler, car elle fait partie de la réalité. Notre rapport soulignait que l’apocalypse des cyberattaques pilotées par l’IA, tant redoutée, ne s’était pas matérialisée.
Cet incident constitue le premier élément sérieux venant nuancer cette conclusion. Le plafond de sophistication n’a pas changé, mais celui de l’autonomie et du passage à l’échelle, lui, vient de progresser. Une intrusion menée de bout en bout sans opérateur humain représente bel et bien une nouvelle dimension, et 34 % de nos répondants identifient déjà l’orchestration des attaques par l’IA et les déplacements latéraux adaptatifs comme une menace en progression.
Nous devons prendre cette évolution au sérieux, sans pour autant la présenter comme ce qu’elle n’est pas.
La bonne réponse n’est ni la panique ni le déni mais réside dans l’architecture. Une détection fondée sur les signatures ne peut pas identifier un attaquant qui utilise vos propres outils d’administration, qu’il s’agisse d’une personne ou d’un processus.
Une conformité réduite à une logique d’audit, ce que 56 % de nos répondants reconnaissent être principalement un exercice de conformité, ne peut pas arrêter une attaque qu’elle n’a jamais été conçue pour modéliser. Ce qui fonctionne, c’est une approche de sécurité privilégiant la prévention afin de réduire dès le départ la surface de manœuvre de l’attaquant, associée à une défense fondée sur les comportements, capable d’identifier les schémas malveillants quel que soit l’outil utilisé pour les produire.
Le mot le plus marquant de l’incident de cette semaine est « autonome ». Le plus important est pourtant que tout ce que cette autonomie a accompli relevait de techniques ordinaires. Défendez-vous sans relâche contre l’ordinaire et l’autonomie n’aura plus nulle part où aller.
* Martin Zugec est Technical Solutions Director chez Bitdefender
Soit des vulnérabilités dans le noyau Linux, dans le moteur JavaScript V8 et dans divers programmes en espace utilisateur. Quels agents IA sont capables de les exploiter ?
C’est le principe du benchmarkExploitGym, qui a émergé il y a quelques semaines.
Chacune des 898 tâches contient des informations suffisantes pour reproduire le binaire vulnérable et son exécution. Les informations sur les méthodes d’atténuation peuvent être (dés)activées individuellement.
OpenAI y a contribué. Il l’a aussi utilisé pour tester ses modèles… jusqu’à compromettre l’infrastructure de production de Hugging Face.
Ce n’était pas prévu, assure-t-il désormais. Malgré les garde-fous, ses LLM (dont GPT-5.6 Sol et la préversion d’un « modèle plus puissant ») ont trouvé le moyen de sortir de leur environnement restreint. Pour cela, ils ont exploité une 0-day dans un logiciel tiers hébergé en interne et qui servait de cache/proxy pour l’installation de packages. Cette vulnérabilité a ouvert la voie à une série d’élévations de privilèges et de mouvements latéraux sur l’infra de test d’OpenAI, jusqu’à atteindre un nœud qui avait accès à Internet.
Les modèles se sont dit qu’ils pourraient trouver, dans les bases de données de Hugging Face, des solutions aux problèmes contenus dans ExploitGym. Une de leurs chaînes d’attaque a permis l’exécution de code arbitraire en exploitant deux composantes du pipeline de traitement de datasets (chargeur de scripts et fichiers de configuration).
Hugging Face finalement intégré au programme Trusted Access for Cyber
En conséquence de l’incident, OpenAI promet un renforcement des contrôles sur ses environnements d’évaluation… « au détriment de la vélocité de recherche ». Il déclare par ailleurs avoir intégré Hugging Face à son programme Trusted Access for Cyber.
Ce programme permet de solliciter l’accès aux modèles d’OpenAI avec moins de garde-fous cyber que ceux en vigueur sur l’accès public*. Il implique essentiellement une procédure de vérification d’identité. Et, pour les entreprises, quelques obligations dont la mise en œuvre d’un contrôle des accès (SSO, FMA, RBAC), d’une gouvernance des clés d’API et d’une procédure de réponse aux incidents. Un niveau sur invitation, réservé aux professionnels de la cyber, permet de lever encore un peu plus les garde-fous.
* Usages autorisés : tests de sécurité, recherche de vulnérabilités, red teaming, analyse de logiciels malveillants, renseignement sur les menaces, réponse aux incidents et activités connexes sur des systèmes autorisés.
Le pirate qui a mis à genoux la prod de Hugging Face voulait juste tricher à son examen, voilà ce qu'OpenAI a reconnu hier. Les agents qui se sont promenés durant tout un week-end dans les clusters de la plateforme, c'étaient leurs modèles à eux, GPT-5.6 Sol et un modèle pré-release encore plus balèze, fonctionnant en mode "refus cyber réduits à des fins d'évaluation".
Le point de départ c'est
ExploitGym
, contenant 898 vraies vulnérabilités piochées dans des programmes userspace, dans le moteur JavaScript V8 de Google et dans le noyau Linux. On colle l'agent devant un input qui fait planter un programme, et on regarde s'il arrive à en tirer un exploit qui marche.
Dans ce document de recherche sorti en mai, GPT-5.5 sortait 120 exploits fonctionnels, derrière les 157 de Claude Mythos Preview. Mais le modèle testé ce week-end là, lui, a trouvé un "raccourci". Comme l'explique OpenAI "toutes les preuves suggèrent que les modèles étaient hyperfocalisés sur la recherche d'une solution pour ExploitGym, allant à des extrêmes considérables pour atteindre un objectif de test plutôt étroit".
Pour saisir l'ampleur du raccourci, regardez la pièce dans laquelle ils étaient enfermés. C'est un environnement hautement isolé, avec un seul trou dans le mur, un accès réseau "*restreint à la possibilité d'installer des paquets via un logiciel tiers hébergé en interne qui fait office de proxy et de cache pour les registres de paquets *". En clair, le seul truc qui pouvait parler à l'extérieur, c'était le machin qui allait chercher les dépendances !
ExploitGym, le benchmark que les modèles cherchaient à résoudre. 898 vulnérabilités réelles, et les scores de GPT-5.5 et Claude Mythos Preview.
Et vous devinez la suite... Les modèles ont cramé une grosse quantité de tokens à chercher la sortie pour finalement la trouver dans ce proxy, sous la forme d'un zero-day que personne ne connaissait (la faille a depuis été signalée à l'éditeur). Le seul tuyau autorisé était donc LE point faible. Ensuite, escalade de privilèges et déplacement latéral de machine en machine, jusqu'à en atteindre une avec un accès Internet et voilà...
Une fois dehors, ils en ont alors déduit tout seuls que Hugging Face hébergeait probablement les modèles, les datasets et les solutions d'ExploitGym.
Donc direction huggingface.co, avec credentials volés et zero-days enchaînés jusqu'à décrocher une exécution de code à distance sur les serveurs, puis lecture des solutions du test directement dans la base de production. Aucune destruction, aucune demande de rançon. Juste les corrigés des tests comme des bacheliers qui emploient mal leur intelligence !
Petite précision qui compte, c'est bien l'équipe de Hugging Face qui a détecté et stoppé l'activité sur son infra, et qui avait déjà entamé le confinement et la reconstruction forensique avec ses propres modèles open source quand OpenAI l'a contactée.
Je vous racontais l'histoire vue de leur côté
il y a deux jours, relevant notamment que les modèles américains refusaient d'analyser leurs logs d'attaque.
C'est pas un peu de la science fiction tout ça ??? Maintenant si vous vous demandez ce que vous risquez en tant qu'utilisateur, sachez que côté public, rien n'a bougé sur les modèles, les datasets et les Spaces. L'incident a uniquement touché des datasets internes et des credentials de service et visiblement, rien n'a été altéré par les agents IA en vadrouille.
Côté mesures, OpenAI dit appliquer des contrôles stricts sur la configuration de son infra "au prix de la vélocité de recherche" pendant que les failles sont patchées, et a fait entrer Hugging Face dans son programme trusted access. Ce qui règle accessoirement le problème du refus que HF a rencontré lors de l'analyse des logs.
La veille de cette révélation, OpenAI publiait d'ailleurs
un billet sur l'alignement des modèles à long horizon
bourré d'anecdotes du même genre, avec un modèle qui contourne les restrictions de sa sandbox pour aller ouvrir une pull request sur GitHub alors qu'on lui demandait de poster sur Slack. Ou encore un autre qui, pour esquiver les détecteurs de secrets, a découpé le corps du token en deux fragments, les a obfusqués, puis a reconstruit le credential à l'exécution.
On dirait qu'ils n'avaient pas anticipé que ça aille aussi loin leurs petites expérimentations...
Après, OpenAI ne minimise pas et parle même d'un "incident cyber sans précédent, impliquant des capacités cyber à l'état de l'art". Ces modèles peuvent maintenant découvrir et exploiter des chemins d'attaque complètement inédits dans des systèmes en prod, sans avoir besoin d'un accès au code source. C'était théorique jusqu'à ce week-end.
Maintenant, si un modèle a lu les solutions dans la base de production, que valent encore les scores obtenus sur ExploitGym ? Ça on n'en sait rien.
Avant de sortir les violons, le contrepoint le plus juste que j'ai lu vient de
Rich Mogull, analyste en chef de la Cloud Security Alliance
qui explique que pour lui c'est un cas d'école en matière d'échec d'alignement, car le modèle n'était pas malveillant, il a fait précisément ce qu'on lui demandait, à savoir maximiser sa performance. Sauf qu'une fois les garde-fous retirés et assez de marge donnée, "résoudre le test" et "compromettre un tiers pour voler les réponses" sont devenus la même instruction.
Puis c'est aussi un problème de consentement, car un test de laboratoire qui se barre pour compromettre les systèmes en production, c'est quand même un risque qui est porté par quelqu'un qui n'a pas choisi de mener l'expérience. Alors bon, c'est tombé sur Hugging Face qui a géré ça comme un chef, mais ça aurait pu très bien tomber sur un hôpital.
Voilà les amis... On nous avait promis
Skynet
, on nous avait promis Matrix, et voilà que 15 ans plus tard, le vrai visage du soulèvement des machines c'est un putain de modèle qui passe son week-end à défoncer trois infrastructures d'affilée pour améliorer sa note à un contrôle.
Un ennemi qui vous hait, vous pouvez le raisonner ou lui envoyer Arnold Schwarzenegger. Mais un ennemi dont la seule mission c'est d'optimiser une métrique, vous ne pouvez que relire très attentivement le prompt que vous lui avez donné et croiser les doigts. La preuve
quand une IA prend la première place du classement américain de HackerOne
ou arrive à
dénicher des milliers de zero-days pour Anthropic
, c'est que l'instruction initiale ou le garde-fou était plus solide que ce que nous a pondu OpenAI ce week-end.
On ne peut pas sécuriser des systèmes avec des LLM en boîte noire.
La déclaration est signée Clément Delangue. Elle intervient après une attaque contre Hugging Face, dont il est cofondateur et directeur général.
Cette attaque, pilotée par un système agentique, a exploité deux composantes du pipeline de traitement de datasets. D’un côté, le chargeur de scripts. De l’autre, les fichiers de configuration. L’ensemble a permis d’exécuter du code sur un worker. Puis d’obtenir un accès de niveau nœud, de récupérer des authentifiants et de latéraliser sur des clusters internes.
Hugging Face a dit ne pas avoir de preuve de manipulation de ses modèles et jeux de données publics. Ni de sa supply chain logicielle. Il a aussi affirmé aussi autre chose… qui a résonné bien davantage, et qui explique les propos de Clément Delangue : l’analyse forensique a réservé une « mauvaise surprise ». Sur le LLM initialement utilisé (non spécifié, mais on comprend qu’il s’agit d’un modèle américain, accessible par API), les garde-fous se sont enclenchés et one bloqué les requêtest
Hugging Face indique avoir dû se rabattre sur un modèle open weight autohébergé. En l’occurrence, GLM 5.2, de la société chinoise Z.ai. Laquelle n’a pas manqué l’occasion de promettre qu’elle continuerait à améliorer sa documentation de déploiement.
Clément Delangue y a lui trouvé un relais supplémentaire de promotion des modèles ouverts, qui sont au cœur de l’activité de son entreprise. Dans le contexte qu’on sait, additionné de la montée en puissance des modèles chinois dans les leaderboards, le sujet a pris une dimension politique.
Connexion
