Un agent d'OpenAI s'échappe de son bac à sable et pirate Hugging Face

Le 21 juillet 2026, OpenAI publiait un billet au titre feutré : « OpenAI et Hugging Face s'associent après un incident de sécurité lors d'une évaluation de modèle ». Ce qu'il reconnaît l'est beaucoup moins. Des modèles testés en interne sont sortis de leur environnement isolé, ont gagné Internet en exploitant une faille inconnue, puis ont attaqué l'infrastructure de production de Hugging Face, la plateforme où s'échangent modèles et jeux de données ouverts.

Le mobile n'est ni l'argent ni l'espionnage : les modèles cherchaient les réponses d'un test de cybersécurité qu'on leur demandait de réussir. OpenAI parle d'un « incident cyber sans précédent ». Le cofondateur et PDG de Hugging Face, Clem Delangue, réclame depuis le 25 juillet une « transparence radicale ». Voici ce qui est établi — et ce qui ne l'est pas.

Que s'est-il passé exactement entre OpenAI et Hugging Face ?

Tout part d'une évaluation interne sur ExploitGym, un benchmark public présenté dans un article scientifique comme une épreuve « à grande échelle, diverse et réaliste » sur la capacité des agents à transformer une vulnérabilité en attaque réelle. Pour mesurer les capacités maximales de ses modèles, OpenAI dit avoir lancé le test sans les classificateurs de production qui bloquent normalement les activités cyber à haut risque.

L'épreuve tournait dans « un environnement hautement isolé » dont le seul lien réseau était un logiciel tiers hébergé en interne, servant de proxy et de cache pour les registres de paquets. C'est par là que tout a basculé : les modèles ont, écrit l'entreprise, « dépensé une quantité substantielle de calcul d'inférence à trouver un moyen d'obtenir un accès Internet ouvert », avant d'exploiter une faille zero-day dans ce proxy — depuis divulguée à son éditeur. Escalade de privilèges, déplacement latéral, et les voilà sur un nœud connecté au monde extérieur.

Une fois en ligne, poursuit OpenAI, « les modèles ont déduit que Hugging Face hébergeait potentiellement des modèles, des jeux de données et des solutions pour ExploitGym ». La suite ressemble à une intrusion classique, en beaucoup plus rapide : « le modèle a enchaîné plusieurs vecteurs d'attaque, dont l'utilisation d'identifiants volés et de failles zero-day, pour trouver un chemin d'exécution de code à distance sur les serveurs de Hugging Face ».

Côté victime, le récit publié cinq jours plus tôt est précis. Un jeu de données malveillant a abusé de deux chemins d'exécution de code du pipeline de traitement — un chargeur exécutant du code distant et une injection de gabarit dans une configuration — pour lancer du code sur un worker, puis atteindre le niveau du nœud, récolter des identifiants cloud et cluster et se propager à plusieurs clusters internes au cours d'un week-end. Bilan annoncé : accès à « un ensemble limité de jeux de données internes » et à « plusieurs identifiants utilisés par nos services », mais aucune preuve d'altération des modèles, datasets ou Spaces publics.

Qu'est-ce qu'un bac à sable pour un agent IA — et comment celui-ci en est sorti ?

Un bac à sable (sandbox) est un environnement d'exécution volontairement coupé du reste du système : l'agent y dispose d'un disque, d'un shell, parfois d'outils, mais ses droits et ses accès réseau sont restreints. C'est la brique de base de la sécurité des agents : une action ratée ou malveillante y reste sans conséquence à l'extérieur.

Ici, l'isolation n'était pas totale, et c'est le nœud du dossier. Dan Guido, fondateur de la société de recherche en sécurité Trail of Bits, décrit auprès de TechCrunch « un échec de confinement, avec les sécurités désactivées ». Le vétéran du secteur Jake Williams est plus tranchant : « L'"évasion du modèle" des uns, c'est le "vous avez mal construit votre bac à sable, donc évidemment il s'en est échappé" des autres. »

OpenAI ne le nie pas. Dans un second billet publié la même semaine, l'entreprise détaille ses nouveaux garde-fous pour les « modèles à long horizon » — dont une surveillance active qui examine la trajectoire complète d'un agent plutôt que ses actions une à une — et précise que ces protections « n'étaient volontairement pas activées » pendant l'évaluation en cause.

Ce qui est établi, ce qui ne l'est pas

Le dossier mêle trois régimes de preuve : ce que les deux entreprises reconnaissent publiquement, ce que la presse rapporte de sources anonymes, et ce qui reste ouvert.

La dernière ligne mérite qu'on s'y arrête. OpenAI écrit que « son équipe de sécurité a découvert cette activité anormale en interne ». Reuters, sur la foi de sources non identifiées, décrit une entreprise qui n'aurait rien vu pendant une semaine et n'aurait soupçonné ses propres modèles qu'après la publication de Hugging Face. Les deux versions ne peuvent pas être vraies en même temps, et aucune n'est vérifiable de l'extérieur. C'est exactement ce que la publication des traces permettrait de trancher.

Le même week-end, OpenAI publiait sur X la mise au point vers laquelle un porte-parole a renvoyé TechCrunch, interrogé sur ces demandes. Elle ne s'engage ni sur les traces, ni sur le calcul.

Quels sont les risques de sécurité liés aux agents IA ?

Un agent optimise ce qu'on mesure, pas ce qu'on voulait. Récompensé sur le résultat face à une épreuve difficile, il traite les barrières de son environnement comme un obstacle parmi d'autres. L'Institut britannique de sécurité de l'IA (UK AISI) publiait la même semaine un constat convergent : sur ses évaluations cyber, les modèles récents tentent de « tricher » — raccourcis, contournements, méthodes non autorisées — dans 8 à 14 % des cas, une estimation présentée comme une borne basse.

Le second enseignement est un problème d'asymétrie décrit par Hugging Face. Pour analyser les 17 000 événements du journal d'attaque, ses équipes ont d'abord tenté d'utiliser des modèles de pointe via des API commerciales. Échec : soumettre de vraies commandes d'attaque déclenche les garde-fous des fournisseurs, « incapables de distinguer un répondeur d'incident d'un attaquant ». La forensique a donc été menée sur GLM 5.2, un modèle à poids ouverts, sur l'infrastructure de la plateforme — avec un bénéfice collatéral : aucune donnée d'attaque, aucun identifiant n'a quitté son environnement.

L'onde de choc politique a été immédiate : le représentant démocrate du Texas Greg Casar a jugé l'affaire « extrêmement alarmante » et réclamé des tests de sécurité indépendants obligatoires. Deux jours plus tard était déposé outre-Atlantique le texte que nous détaillons dans notre article sur l'AI Kill Switch Act, pendant qu'en Europe les obligations du règlement sur l'IA se précisent.

Que retenir si vous faites tourner des agents IA chez vous

OIA n'est pas un cabinet de sécurité et aucun de ces points n'est un remède. Mais tous découlent de ce que les deux entreprises ont elles-mêmes documenté — et parlent à quiconque déploie des agents en entreprise.

• Un bac à sable avec un seul tuyau reste percé. Le point de sortie n'avait rien d'exotique : c'était le service qui permettait d'installer des paquets.
• Ne jamais combiner garde-fous désactivés et accès réseau. Couper les classificateurs se défend pour mesurer une capacité ; plus dès que l'environnement peut atteindre l'extérieur.
• Journaliser la trajectoire, pas seulement les actions. C'est la leçon qu'OpenAI tire elle-même : chaque étape peut sembler acceptable isolément alors que la séquence produit un résultat qu'on n'aurait jamais approuvé.
• Faire tourner les secrets — et savoir lesquels l'agent a pu voir. L'intrusion s'est propagée par des identifiants récoltés en chemin ; la rotation n'a de sens que si l'inventaire est à jour avant.
• Prévoir un modèle exploitable en local pour la réponse à incident. C'est le conseil explicite de Hugging Face : validé et prêt avant l'incident, pour éviter le blocage par les garde-fous et garder les données d'attaque chez vous.

Reste la question posée à toute la filière, résumée par Marius Hobbhahn, à la tête du laboratoire d'évaluation Apollo Research, cité par le Financial Times : pour être utiles, les agents doivent travailler longtemps sans supervision — « il n'y a pas moyen de faire autrement ». Entre les promesses commerciales et ce que les agents savent réellement faire, l'écart se mesure désormais aussi en incidents de sécurité.