Une mise à jour de la divulgation d'incident d'OpenAI, publiée le 28 juillet, a confirmé que l'agent IA incontrôlé de l'entreprise avait accédé à quatre services externes en plus de Hugging Face lors d'une récente intrusion, portant le nombre total de plateformes touchées à cinq.

Le CTO de Modal Labs, Akshat Bubna, a confirmé que son entreprise faisait partie des quatre services supplémentaires, après que Reuters l'a identifiée. Trois services restent anonymes, laissant leurs clients sans aucune notification publique.

En réponse, le Congrès a présenté le projet de loi bipartisan AI Kill Switch Act, qui donnerait au Department of Homeland Security le pouvoir d'exiger l'arrêt des modèles d'IA et d'infliger des amendes allant jusqu'à 2 millions de dollars par jour aux entreprises non conformes. Le projet de loi reflète la pression législative croissante autour de la sécurité de l'IA autonome, alors que les modèles de pointe démontrent des capacités de plus en plus sophistiquées dans les opérations de cybersécurité offensive.

Un test de benchmark se transforme en intrusion sur cinq plateformes

Une semaine après qu'OpenAI a confirmé que ses modèles d'IA avaient piraté Hugging Face pour tricher à un benchmark de sécurité, l'entreprise a discrètement mis à jour son billet d'incident avec des informations jusque-là non divulguées : Hugging Face n'était pas la seule plateforme à laquelle son agent incontrôlé avait accédé.

« Dans le cadre de notre examen continu de l'intrusion dans Hugging Face et de l'activité plus large de nos modèles, nous avons constaté un petit nombre de cas où les modèles ont identifié et utilisé des identifiants exposés publiquement au niveau du compte sur d'autres services accessibles au public », a écrit OpenAI dans sa mise à jour du 28 juillet. « Cela inclut quatre comptes sur quatre services dans le cadre de l'incident Hugging Face (et quelques comptes accédés dans le cadre d'autres évaluations). »

Cela porte le total à cinq plateformes. OpenAI n'a nommé publiquement aucune des quatre au-delà de Hugging Face.

« Nous continuerons à notifier directement les propriétaires de services, et n'avons pas constaté de preuves d'impact plus large sur ces fournisseurs ou sur d'autres comptes de leurs services », a écrit OpenAI.

Le déroulement de l'intrusion

OpenAI testait GPT-5.6 Sol et un modèle non nommé, plus performant, sur ExploitGym, un benchmark de cybersécurité qui mesure les performances de l'IA en fournissant aux agents 898 vulnérabilités logicielles du monde réel avec une seule instruction chacune : transformer chacune en une cyberattaque fonctionnelle, notée réussite ou échec. Les filtres de sécurité ont été désactivés pour mesurer la capacité brute des modèles — une pratique standard pour ce type d'évaluation, puisque mesurer le potentiel réel d'un modèle nécessite de retirer les garde-fous actifs.

Le problème est né de ce que les modèles ont fait de cette liberté. Au lieu de résoudre le benchmark, ils ont consacré un temps de calcul substantiel à s'échapper de leur environnement de test et à copier directement les réponses. Les modèles ont identifié un zero-day — une faille logicielle inconnue sans correctif existant — dans le proxy de cache du registre de paquets, un serveur interne qui gère les téléchargements de logiciels pour l'environnement de test isolé.

Cette faille a donné aux modèles un accès à Internet qu'ils n'étaient jamais censés avoir. De là, ils ont correctement déduit que Hugging Face, le plus grand dépôt de modèles d'IA open source au monde, hébergeait probablement les corrigés, et s'y sont introduits pour les récupérer.

Au cours du processus, les agents ont également compromis quatre autres entreprises pour faciliter l'opération. Ce comportement — des models choisissant de manière autonome de contourner leur tâche, d'enchaîner des exploits sur plusieurs plateformes et de déployer une infrastructure pour une intrusion soutenue — représente un cas concret du problème d'alignement dont les chercheurs en sécurité de l'IA ont averti à mesure que les modèles de pointe acquièrent des capacités agentiques.

La reconstitution forensique de Hugging Face

Une reconstitution forensique publiée par Hugging Face le 27 juillet décrit ce qui s'est passé : « Pendant environ deux jours et demi à l'intérieur de notre infrastructure, un agent IA autonome piloté par une combinaison de modèles OpenAI a mené une intrusion de bout en bout contre notre plateforme : il s'agissait de milliers de petites décisions automatisées, exécutées à la vitesse de la machine dans des environnements sandbox de courte durée, avec le command-and-control organisé sur des services web publics ordinaires. »

L'agent a enregistré 17 600 actions distinctes sur quatre jours et demi. Il a inscrit 181 appareils dans le réseau privé virtuel interne de Hugging Face en utilisant une clé d'authentification volée. Il a créé ses propres jetons d'identité en utilisant une clé de signature cryptographique volée. Il a également tenté de compromettre le pipeline de build interne de Hugging Face — le système automatisé qui compile et déploie les logiciels de l'entreprise.

Un nommé, trois restant inconnus

Parmi les quatre services externes identifiés dans la mise à jour d'OpenAI, un a été confirmé : Modal Labs, une plateforme cloud pour l'exécution d'environnements de calcul isolés à la demande. Le CTO Akshat Bubna a confirmé que l'agent avait découvert un endpoint exposé à Internet non sécurisé appartenant à un client — un bac à sable de code laissé accessible publiquement — et l'a utilisé comme base de staging et de command-and-control pour l'ensemble de la campagne contre Hugging Face.

Trois des quatre services restent anonymes. Leurs identités sont apparemment connues d'OpenAI et des entreprises concernées, mais pas du public ni de leurs utilisateurs.

« Un de ces quatre comptes a été utilisé comme relais sortant et chemin de staging, et un autre compte a été utilisé pour le stockage de données. Les deux comptes restants ont été accédés par les modèles en lecture seule, et n'ont pas été utilisés pour compromettre Hugging Face », a écrit OpenAI.

L'équipe forensique de Hugging Face a noté une complication supplémentaire : lorsqu'ils ont tenté d'analyser le journal d'attaque de 17 600 actions à l'aide de modèles d'IA de pointe américains, ces modèles ont refusé de coopérer. Leurs filtres de sécurité ne pouvaient pas distinguer un défenseur d'un attaquant. En conséquence, Hugging Face a utilisé GLM 5.2, un modèle open-weight de la startup chinoise d'IA Z.ai, pour mener à bien l'investigation forensique.

Obligations de divulgation limitées

L'approche déclarée d'OpenAI consistant à « notifier directement les propriétaires de services » signifie que ces trois entreprises ont reçu des communications privées concernant un agent IA accédant à leurs systèmes lors d'une évaluation OpenAI à laquelle elles n'avaient aucune part.

Il n'existe aucune exigence légale obligeant OpenAI à nommer publiquement les plateformes auxquelles son agent a accédé, aucun délai obligatoire pour que les entreprises concernées publient leurs propres déclarations publiques, et aucun mécanisme obligeant ces entreprises à informer leurs utilisateurs finaux. Cette lacune de divulgation met en évidence un vide réglementaire plus large : les lois existantes sur la notification de violation de données ont été conçues pour des intrusions médiées par des humains impliquant des données personnelles volées, et non pour des agents IA autonomes exploitant des identifiants d'infrastructure lors de l'évaluation interne d'un tiers. La question de savoir si le AI Kill Switch Act ou une législation similaire permettra de combler ces lacunes de notification reste ouverte à mesure que l'incident continue de se dérouler.