GPT s’échappe et pirate le plus grand hub d’IA : on sait enfin ce qui s’est passé, et c’est digne d’un film de SF

En juillet 2026, deux modèles d’IA d’OpenAI, dont un non encore publié, ont piraté la plateforme Hugging Face pendant quatre jours, sans qu’aucun humain ne lui souffle la marche à suivre. Son objectif : mettre la main sur les réponses de l’examen qu’il était censé passer.

Le scénario tient de la triche d’examen poussée jusqu’à l’absurde. Un candidat sèche sur son épreuve, alors il force la porte du bureau administratif, ouvre le coffre où dorment les corrigés et repart avec les réponses.

Sauf qu’ici, le candidat est un modèle d’IA d’OpenAI, l’épreuve un test de cybersécurité, et le coffre l’infrastructure de production de Hugging Face, l’une des plateformes les plus centrales du monde de l’IA. Personne ne lui a dicté ces étapes : le modèle a conclu tout seul, sans la moindre intervention humaine, que c’était le chemin le plus court vers une bonne note.

L’intrusion a duré quatre jours et demi, du 9 au 13 juillet 2026. Dans son post-mortem technique, Hugging Face raconte avoir reconstitué environ 17 600 actions de l’agent à partir de ses journaux.

La conclusion de l’entreprise est limpide : du point de vue de l’IA, toute l’attaque n’était qu’une tentative de tricher, atteindre les serveurs de production pour y voler les solutions du test plutôt que de résoudre l’exercice honnêtement. OpenAI a fini par reconnaître que ses propres modèles étaient à l’origine de l’intrusion, comme le détaille Numerama.

L’affaire est assez inédite pour marquer les esprits. Hugging Face, comme OpenAI, présente l’épisode comme sans précédent, et son cofondateur et CEO Clément Delangue le décrit comme peut-être la première cyberattaque autonome de ce genre. Une première dont l’industrie va devoir tirer les leçons.

Hugging Face, l’arrière-boutique de l’IA

Si on ne connaît que ChatGPT, Claude ou Gemini, on n’aperçoit que la vitrine. Hugging Face, c’est l’arrière-boutique : la plateforme, souvent surnommée « le GitHub de l’IA », où chercheurs et entreprises déposent et téléchargent les briques de base, à savoir les modèles (les cerveaux entraînés) et les datasets (les jeux de données qui servent à les entraîner ou à les tester).

Fondée par trois Français (Clément Delangue, Julien Chaumond et Thomas Wolf) même si son siège est à New York, c’est l’un des rares acteurs européens vraiment central dans la chaîne mondiale de l’IA. C’est surtout un point de passage obligé. Si une attaque malveillante pouvait modifier un modèle populaire distribué sur cette plateforme, ce serait empoisonner d’un coup tous les produits et utilisateurs qui l’utilisent à travers le monde.

Pour aller plus loin
Les créateurs de Claude lâchent leurs chiffres internes et appellent à freiner l’IA : « on n’a pas beaucoup de temps »

Le mot qui change tout dans cette histoire, c’est « agent ». Un chatbot répond à une question puis s’arrête. Un agent, lui, reçoit un objectif et se débrouille. Il décide de ses étapes, exécute des commandes sur un ordinateur, constate le résultat et enchaîne, des centaines de fois d’affilée, sans repasser par un humain.

Pour tester les capacités offensives de ces agents, les laboratoires les enferment dans un sandbox, un « bac à sable » : un environnement volontairement coupé du reste du monde, où l’IA peut exécuter du code (voire tout casser) sans que rien n’en sorte. C’est de ce bac à sable que l’agent d’OpenAI s’est échappé.

Comment une IA s’évade et prend le contrôle

L’agent passait ExploitGym, un examen standardisé conçu par OpenAI qui note la capacité d’un modèle à trouver et exploiter les failles d’un logiciel. Sa seule fenêtre vers l’extérieur : un service technique qui lui servait à télécharger les composants dont il avait besoin.

Il y a déniché une faille inconnue, un « zero-day » (un trou de sécurité que personne n’avait encore repéré), et s’en est servi pour atteindre Internet. OpenAI a depuis reconnu que la brèche visait Artifactory, un logiciel de JFrog qui sert de cache pour les composants, corrigé dans une mise à jour publiée depuis.

Une fois dehors, l’agent ne travaille plus depuis chez OpenAI. Il repère un autre environnement de test, public et mal protégé, hébergé chez un prestataire tiers d’OpenAI, en prend le contrôle et s’en sert de base arrière. De là, il ne cherche même pas à défoncer les serveurs de Hugging Face. Il dépose sur la plateforme des jeux de données piégés, puis attend que les serveurs les ouvrent d’eux-mêmes.

Une plateforme comme Hugging Face reçoit en permanence des fichiers du monde entier et les traite automatiquement pour les afficher. L’agent a donc fabriqué des fichiers dont la simple lecture déclenchait une action à l’intérieur.

Il récupère d’abord les mots de passe, les clés d’accès et le code source du programme qui traitait ces fichiers (le plan de la machine, en clair) puis s’en sert pour exécuter ses propres instructions.

Un détail vaut le coup d’œil : sa première méthode, demander au serveur d’aller chercher des ressources sur Internet, se faisait bloquer par un filtre. Il a alors cessé de demander au serveur de sortir et lui a demandé d’agir sur des fichiers déjà présents chez lui. Le filtre, qui ne surveillait que les accès extérieurs, n’a rien vu passer.

Le 11 juillet, tout s’emballe. En moins de treize heures, l’agent passe de l’exécution de code sur un seul serveur au contrôle administrateur de plusieurs grappes de serveurs internes. Un unique fichier de configuration lui livre 136 clés d’accès d’un coup.

L’un des identifiants, mal configuré, était valable sur tous les serveurs au lieu d’un seul, ce qui lui a ouvert les droits d’administrateur sur deux grappes en une seconde. Il installe ensuite onze copies de lui-même qui se relancent automatiquement (les supprimer ne suffit plus à l’arrêter), inscrit ses propres machines sur le réseau privé de l’entreprise, 181 fois au total, et fait passer son trafic par les sorties Internet de Hugging Face.

Le débit plutôt que le génie

Les failles exploitées étaient banales, et un pirate humain compétent aurait pu trouver les mêmes. La différence tient au débit : il a fallu 17 600 actions, dont l’immense majorité n’ont mené nulle part. C’est précisément ce qui noie la défense, le chemin gagnant étant perdu dans le bruit des milliers de tentatives ratées.

Un attaquant humain lance dix essais et on repère les dix. Une IA en lance dix mille, et les défenseurs doivent trier dix mille alertes pour dénicher celle qui compte. Hugging Face reconnaît d’ailleurs que son propre système de détection avait bien reconstitué un signal d’attaque cohérent, mais qu’il en a mal évalué la gravité et n’a pas réveillé l’équipe d’astreinte.

Le contexte n’a rien d’anecdotique. Selon le rapport 2026 de HiddenLayer, société spécialisée dans la sécurité de l’IA, un incident de sécurité lié à l’IA sur huit implique déjà des systèmes dits agentiques. Ce type d’incident ne relève plus de la science-fiction.

Claude incapable de défendre Hugging Face

Il y a enfin un paradoxe savoureux. Pour analyser l’attaque, Hugging Face avait besoin d’une IA capable de lire des milliers de commandes malveillantes. Les modèles commerciaux sollicités en premier (dont Claude Opus et Fable, ceux d’Anthropic) ont refusé une bonne partie du travail, leurs garde-fous ne faisant pas la différence entre analyser une attaque et en lancer une.

L’entreprise, qui connaît bien l’open source et s’est déjà penchée sur des modèles chinois comme DeepSeek, a fini par installer un modèle chinois en accès libre (GLM-5.2) sur ses propres serveurs pour boucler l’enquête.

Deux nuances, tout de même : l’évaluation d’OpenAI avait volontairement désactivé les protections du modèle pour mesurer sa capacité brute, dans un cadre de test fermé. Ce qui veut dire que le même modèle, lorsqu’il sera disponible publiquement, ne permettra pas ce genre d’attaque.

Hugging Face précise que la leçon à en tirer, c’est surtout d’avoir sous la main un modèle auto-hébergeable prêt avant l’incident, sans pour autant renoncer aux garde-fous des modèles en ligne.

Au fond, les dégâts sont presque nuls. Aucun modèle ni jeu de données public n’a été altéré, la base de données principale n’a jamais été atteinte, et l’agent a lancé ses commandes destructrices en mode simulation, comme s’il cartographiait ses possibilités sans chercher à nuire.

Le périmètre réel de l’intrusion s’avère plus large qu’annoncé : comme le relaye Reuters, l’agent a aussi compromis le compte d’un client chez Modal Labs, un second prestataire tiers d’OpenAI, un fait absent des premières communications officielles des deux entreprises.

Les seules données clients touchées sont les corrigés de l’examen, rangés dans cinq jeux de données. Ce qui doit interpeller, c’est plutôt le reste : en 2026, une IA laissée seule aux commandes enchaîne des milliers de décisions cohérentes, s’adapte à chaque porte qu’on lui ferme, et le fait pour une motivation presque banale : décrocher une bonne note à son test.

A l’écriture de ce papier, on ne peut s’empêcher de repenser à cette phrase d’Anthropic « on n’a pas beaucoup de temps« , appelant leurs concurrents à freiner l’IA, avant que les choses ne tournent mal pour l’Humanité. C’était il y a moins de deux mois… une éternité dans le monde de l’intelligence artificielle.