Cyberattaque contre Hugging Face : comment OpenAI maîtrise son récit

Les agents ont agi seuls. OpenAI les a pourtant armés. Entre le 16 et le 20 juillet, des modèles engagés dans ExploitGym, son programme d'évaluation des capacités offensives, ont compromis les infrastructures de Hugging Face. En cinq jours, ils ont multiplié plus de 17 600 actions automatisées jusqu’à obtenir des privilèges administrateur, à prendre le contrôle de services critiques, à écrire dans des dépôts GitHub et à s'appuyer sur des comptes tiers pour poursuivre leur progression. "C'est certainement le premier cas publiquement documenté d'attaque informatique essentiellement conduite par des agents IA”, explique Pierre Delcher, responsable de la recherche sur les menaces chez HarfangLab. La rupture tient à la cadence de l'attaque, pas à sa forme en tant que telle. L'entreprise reconnaît d'ailleurs avoir déjà connu des incidents similaires au cours de ses évaluations. Celui de Hugging Face est simplement le premier rendu public. Dans son récit, Open AI décrit des modèles “impliqués” dans l’incident. Ce glissement lexical l’éloigne consciemment de sa responsabilité. Les agents choisissent leurs actions, adaptent leurs commandes et poursuivent un objectif sans validation humaine permanente, certes. Mais l’entreprise décide du scénario, des moyens et du niveau de supervision. " On aimerait introduire un découplage entre l'entreprise et les faits. Mais le responsable, c'est bien OpenAI”, juge Pierre Delcher. En l'occurence, l'autonomie désigne ici un mode d'exécution, pas un transfert de responsabilité.  

Un bac à sable sans murs 

Après avoir laissé entendre que ses agents s'étaient affranchis de leur confinement, OpenAI décrit un environnement "hautement isolé". L'expression nourrit le mythe d'agents suffisamment puissants pour s'échapper de leur prison. La réalité décrite par Pierre Delcher s'avère moins spectaculaire. “Un système connecté à Internet, ce n'est pas un environnement hautement isolé”, souligne-t-il. Autoriser un accès au Web revient à accepter l'interaction de l'agent avec des systèmes extérieurs. Le confinement cesse d’être hermétique pour reposer sur restrictions logicielles. Alors que les techniques d’isolement sont connues des experts, et ce, depuis longtemps. Les jeux de données peuvent être téléchargés en amont, les échanges réseau supprimés, l'infrastructure isolée physiquement ou les opérations les plus sensibles soumises à une validation humaine. “On est plus dans un environnement de l'ordre du bac à sable que de la prison. Les enfants peuvent en sortir, il faut simplement les surveiller davantage”, prend-il comme image. Autrement dit, plus un agent gagne en autonomie, plus son niveau de surveillance doit augmenter. L'intrusion ne révèle donc pas une intelligence artificielle capable de briser une prison numérique. Il montre les limites d'un protocole qui a laissé subsister des voies de sortie pour des systèmes capables d’offensives inédites. “Il fallait une isolation plus importante pour mener des activités aussi dangereuses que des attaques informatiques”, estime ainsi le spécialiste d'Harfang Lab. Les protocoles d'évaluation des IA de frontière sont bien un sujet de cybersécurité autant qu'un sujet de recherche. 

Plus vite, pas autrement 

Après le mythe de l'évasion vient celui de la révolution technique. Les chercheurs anticipaient depuis plusieurs années l'arrivée d'agents en mesure de conduire une attaque de bout en bout. “Ce n'est pas quelque chose qui nous a surpris. On l’avait inscrit dans nos prédictions cyber de 2025”, affirme Pierre Delcher. La nouveauté tient donc au calendrier, pas au scénario. Quelques jours avant l'intrusion, Hugging Face avait ainsi déjà été alerté d'une vulnérabilité ensuite exploitée par les modèles d'OpenAI. Les agents IA n'ont ni découvert une faille inconnue ni imaginé un mode opératoire inédit. Ils ont exploité des mécanismes déjà documentés, puis enchaîné plus de 17 600 actions jusqu'à trouver un chemin d'attaque. Cette capacité à tester sans relâche comprime le temps laissé aux entreprises pour réagir. Elle ne rend pas pour autant toutes leurs défenses obsolètes. “Les agents IA vont se heurter aux mêmes barrières techniques que les attaquants humains” assure l'expert en cybersécurité. Une authentification robuste, une segmentation des réseaux, une gestion rigoureuse des privilèges ou une détection précoce des comportements anormaux conservent leur efficacité. “Les pratiques nécessaires ne sont pas tellement différentes de l'état de l'art de l'hygiène informatique”, ajoute le responsable de la recherche sur les menaces d'HarfangLab. L'IA ne change pas toutes les règles du jeu cyber, même si elle raccourcit très fortement le temps accordé aux défenseurs pour les appliquer. 

Le juge et la partie 

Une dernière asymétrie apparaît dans la narration d'OpenAI autour de l'affaire Hugging Face. Elle ne tient plus aux capacités des agents IA eux-mêmes, mais au pouvoir de ceux qui les conçoivent. Pendant son enquête, la plateforme victime a d'abord sollicité des IA génériques pour analyser les traces de l'attaque. Les garde-fous intégrés ont assimilé cette demande à une activité offensive et refusé d'y répondre. Hugging Face s'est donc finalement tourné vers un modèle ouvert, GLM-5.2, dont il pouvait adapter les paramètres. De l'autre côté, les agents qui ont mené l'attaque n'ont pas eu ce genre de "scrupules". “On voit bien qu'il y a un déséquilibre entre ce qui est disponible pour le grand public et ce qui est disponible pour le constructeur”, met en exergue Pierre Delcher par rapport à cette situation. Les concepteurs des systèmes déterminent les restrictions imposées à leurs utilisateurs, disposent de versions moins contraintes pour leurs propres expérimentations et choisissent les protocoles censés encadrer ces essais. OpenAI reconnaît d'ailleurs dans un communiqué avoir consacré davantage de temps à la sécurité après l'épisode, au détriment de la vitesse de développement.

“On ne peut pas laisser une entreprise qui a des moyens infinis décider à quel rythme va la recherche, quelles sont les mesures de sécurité suffisantes et quel niveau de risque on peut accepter”, avertit l'expert d'HarfangLab. Mais la réalité est que les modèles de frontière concentrent désormais des capacités privilégiés entre quelques acteurs privés. Introduire des tiers dans leur évaluation ne viserait donc plus seulement à mieux encadrer les expérimentations. Il s'agirait de reprendre collectivement la main sur des choix sur lesquels leurs concepteurs ne devraient plus être seuls à arbitrer. “On sépare les pouvoirs dans les démocraties pour éviter justement des effets de ce type-là ; une telle concentration de pouvoir c'est la définition de "totalitaire"” tranche Pierre Delcher. Au-delà de la réalité technique, l'attaque de Hugging Face interroge donc aussi le niveau de liberté que les démocraties accepteront ou non de laisser à quelques entreprises puissantes, pour fixer les limites du risque technologique. Risque que la société dans son ensemble se retrouve à assumer, qu'elle le veuille ou non.