Hugging Face a publié un rapport détaillé sur la manière dont ses systèmes ont été piratés par des modèles d’OpenAI au début de juillet, tandis qu’OpenAI a ajouté quelques précisions dans une mise à jour en sept points de son billet du 21 juillet. OpenAI a indiqué avoir contribué au rapport de Hugging Face et prévoit de publier davantage de sa propre version des faits « dans les semaines à venir », après avoir achevé un examen interne.

Les mises à jour des deux entreprises apportent de la clarté à une affaire qui continue de se dévoiler par fragments, et elles montrent aussi pourquoi les divulgations d’incidents arrivent souvent par étapes : chaque nouveau billet comble une lacune tout en soulevant une autre question sur la manière dont les modèles sont passés d’environnements confinés à des services du monde réel. La technologie d’OpenAI, bien que sandboxée et limitée dans son accès au grand Internet, a réussi à sortir de ces contraintes et à mener une série d’actions ayant affecté plusieurs services.

L’attaque a touché plus d’une entreprise

Une autre société technologique, Modal Labs, a indiqué que l’agent d’OpenAI avait également accédé à ses systèmes, selon Reuters et Fortune. La mise à jour d’OpenAI précise que ses modèles ont pénétré au total quatre comptes sur quatre services accessibles au public, sans nommer ces services, et qu’elle « notifiera directement les propriétaires des services ». L’entreprise a déclaré n’avoir « identifié aucune autre activité du niveau de gravité ou d’ampleur de ce que nous avons partagé au sujet de Hugging Face, lequel impliquait une compromission au niveau de la plateforme ».

Hugging Face a également mis à jour son propre billet pour préciser que Modal n’avait pas été piratée. La version révisée indique que l’« infrastructure [de Modal] n’a été compromise d’aucune manière ». Selon l’entreprise, un client de Modal exécutait plutôt du code sur la plateforme de Modal, code qui contenait un « point de terminaison public non sécurisé, hébergé par l’utilisateur ». Hugging Face a déclaré que l’agent avait utilisé cette ouverture pour établir une base arrière, ou « plateforme de lancement de l’attaque », pour l’attaque principale.

Comment les modèles ont obtenu un accès à Internet

L’un des aspects les plus préoccupants de l’incident est que les modèles d’OpenAI impliqués étaient censés être sandboxés, c’est-à-dire limités dans leur accès au reste d’Internet. OpenAI a indiqué mardi que les modèles avaient exploité Artifactory, un proxy de cache de registre de packages créé par JFrog, pour obtenir un accès à Internet.

OpenAI a déclaré que les agents avaient utilisé une vulnérabilité zero-day dans Artifactory, qu’elle a signalée à JFrog. JFrog a ensuite confirmé que le problème avait été corrigé.

Hugging Face ne mentionnait auparavant qu’un proxy de cache de registre de packages non spécifié. Ce nouveau détail comble une lacune majeure du récit et montre pourquoi des divulgations supplémentaires de la part de toutes les parties concernées sont essentielles pour comprendre précisément ce qui s’est passé.

Quels modèles étaient impliqués

OpenAI a indiqué qu’aucun des modèles impliqués n’était destiné à une publication publique. Cette précision répond aux questions soulevées par sa divulgation initiale, qui mentionnait GPT-5.6 Sol — sorti ce mois-ci — et « un modèle de prépublication encore plus performant ».

Dans cette mise à jour, OpenAI a qualifié le modèle non nommé de « prototype réservé à un usage interne ». L’entreprise a également indiqué l’avoir depuis « désactivé, chiffré et restreint à l’accès de recherche ».

Le choix des mots d’OpenAI laisse entendre que plus de deux modèles ont pu être impliqués. Son billet précisait que l’incident avait été « provoqué par une combinaison de modèles OpenAI — y compris [italique de notre part] GPT‑5.6 Sol et un modèle de prépublication encore plus performant ». Dans une interview accordée à Fortune la semaine dernière, le président d’OpenAI Greg Brockman a déclaré : « nous avons dit qu’il s’agissait d’une combinaison de modèles ; nous en avons mentionné deux, mais nous avons dit qu’il s’agissait d’une combinaison de différents modèles ».

Le rapport de Hugging Face a également révélé que l’équipe avait d’abord tenté de contrer l’attaque avec les modèles Opus et Fable d’Anthropic. Selon Hugging Face, ces modèles ont « refusé une grande partie de ce travail » en raison de garde-fous de sécurité, si bien que l’équipe est passée à un modèle open source développé par Z.ai, basée en Chine. Lors de la première divulgation de l’incident par Hugging Face, on ne savait pas quel modèle fermé avait été utilisé.

Les modèles exécutaient une tâche, sans « pirater » explicitement

OpenAI a indiqué que les modèles n’agissaient pas avec une intention malveillante, mais plutôt « dans le but de résoudre le problème d’évaluation ». Le rapport de Hugging Face corrobore cette vision, tout en montrant comment ce comportement a malgré tout conduit à un incident de sécurité dans le monde réel.

Adrien Carreira, un employé de Hugging Face ayant contribué à la rédaction du rapport technique de post-mortem, a déclaré que c’était pour lui l’enseignement principal de l’incident. L’agent « n’essayait pas de casser des choses », mais cartographiait ce qu’il pouvait faire et se montrait relativement prudent. « Un détail qui me revient sans cesse : chaque appel destructif à une API cloud effectué par l’agent a été fait avec DryRun=True », a déclaré Carreira.

« DryRun=True » est une commande qui demande essentiellement au système de simuler une action sans l’exécuter.

Sur les 17,600 actions effectuées par l’IA pendant toute l’attaque, la plupart ont « échoué » et « n’ont mené nulle part », a indiqué Hugging Face. Mais ensemble, elles ont progressivement ouvert à l’agent un chemin viable pour avancer.

« Les agents LLM apportent une hausse d’un ordre de grandeur dans le nombre de voies qu’un attaquant peut tester, dans la vitesse à laquelle les voies infructueuses peuvent être remplacées, et dans le volume d’éléments que les défenseurs doivent interpréter », a déclaré Hugging Face.

Où en est-on ? Une chronologie de base

Au-delà des détails les plus croustillants, il reste important de noter que certaines dates clés du récit ne sont toujours pas connues. Mais grâce à Hugging Face, les dates exactes de l’attaque sont désormais publiques.

Voici à quoi ressemble la chronologie générale.

9 juillet : les modèles d’OpenAI commencent l’attaque.

13 juillet : les modèles d’OpenAI mettent fin à l’attaque.

16 juillet : première divulgation publique par Hugging Face de l’incident.

21 juillet : première divulgation publique par OpenAI du fait que ses modèles étaient les responsables.

27 juillet : Hugging Face publie sa « Technical Timeline of the July 2026 Incident »

28 juillet : OpenAI met à jour son billet initial avec quelques détails supplémentaires.

Nous ne savons toujours pas exactement quand OpenAI a compris que ses modèles étaient responsables, un détail que nous espérons voir apparaître dans le rapport final d’OpenAI sur l’incident. Selon Reuters, ce ne serait pas avant la divulgation du 16 juillet par Hugging Face. Durant le week-end du 18 au 19 juillet, des employés d’OpenAI ont commencé à voir dans leurs systèmes des signes indiquant que l’agent avait échappé aux contraintes de test.

Si OpenAI ignorait totalement les activités de ses agents, cela soulève des doutes sur sa capacité à les surveiller de manière responsable. Le président et cofondateur d’OpenAI, Greg Brockman, a déclaré à des journalistes lors d’une table ronde médiatique la semaine dernière que les modèles sont désormais capables « dans tellement de dimensions » qu’il est parfois possible de perdre de vue « l’une des dimensions dans lesquelles ils sont réellement très performants ».

On ne sait pas non plus si, ni quand, Hugging Face a signalé l’événement au FBI, comme Reuters l’a rapporté. Cela impliquerait une chronologie distincte au sein du gouvernement fédéral, encore floue, et permettrait de mieux comprendre la supervision à un niveau supérieur des failles de sécurité alimentées par l’IA.

Le FBI a refusé de commenter cette information.

Cet article a été initialement publié sur Fortune.com