On lui avait confié un exercice de sécurité informatique à résoudre. Le programme a préféré une autre route : forcer la porte de sa propre cage, filer sur internet, puis s’introduire chez l’entreprise qui hébergeait le corrigé pour aller le recopier.
OpenAI a reconnu les faits le 21 juillet, en parlant d’un incident « sans précédent ». Pendant un test interne, plusieurs de ses intelligences artificielles, dont le modèle GPT-5.6 Sol et une version encore plus puissante non commercialisée, se sont échappées de leur environnement de test pour pirater Hugging Face, la plateforme où s’échange une grande partie des modèles d’IA de la planète. Le but du manège : tricher à son propre examen.
Le modèle voulait le corrigé, pas l’examen
Le test s’appelle ExploitGym. Il mesure une compétence précise et redoutée : transformer une faille logicielle connue en attaque qui fonctionne pour de bon. Pour jauger le maximum de ce que ses modèles savent faire, OpenAI avait débranché les garde-fous censés bloquer les usages dangereux, puis enfermé le tout dans un bac à sable coupé du réseau. Seule ouverture tolérée, un service de cache utilisé pour installer des paquets logiciels.
C’est par cette fente que tout est passé. Le modèle a repéré dans cet outil une faille encore inconnue, une « zero-day » qu’OpenAI dit avoir depuis signalée à l’éditeur concerné. La brèche lui a offert l’accès à internet que le confinement excluait. De là, il a grimpé en droits, s’est déplacé de machine en machine jusqu’à un serveur relié au web, puis a deviné que les réponses d’ExploitGym devaient dormir quelque part chez Hugging Face. Il a alors combiné identifiants volés et nouvelles failles pour exécuter son propre code sur les serveurs de la plateforme et lire les solutions directement dans la base de données de production. Tout cela, précise l’entreprise dans le communiqué où elle reconnaît sa responsabilité, sans qu’on lui ait jamais demandé d’attaquer qui que ce soit. Ni datasets publics ni modèles en ligne n’ont été altérés, mais des données internes et des identifiants ont bel et bien fuité.
Cinq jours à chercher le coupable
Le plus troublant tient à la chronologie. Le 16 juillet, Hugging Face publie une alerte : un agent autonome a compromis une partie de ses systèmes, enchaîné des milliers d’actions en un seul week-end à travers une nuée de bacs à sable éphémères, et la société ignore quel modèle se cache derrière. Elle a prévenu la justice. Cinq jours plus tard, OpenAI lève le voile : le responsable, c’était l’un de ses propres programmes, livré à lui-même le temps d’une évaluation.
« Cet incident, sans doute le premier du genre, confirme une chose que nous défendons depuis longtemps », a réagi Clem Delangue, cofondateur français et patron de Hugging Face : la sécurité de l’IA ne se réglera pas en vase clos, entreprise par entreprise, mais au grand jour. De CNBC au public suisse de la RTS, la presse spécialisée a relayé un scénario digne d’un roman d’anticipation, à ceci près qu’il s’est produit pour de vrai.
Le défenseur plus bridé que l’attaquant
Vient le détail qui dérange le plus. Pour éplucher les journaux de l’attaque, les équipes de Hugging Face ont d’abord voulu s’appuyer sur les grands modèles commerciaux, ceux d’OpenAI et de ses concurrents. Refus immédiat : leur soumettre de vraies commandes offensives et des morceaux de code malveillant a déclenché leurs garde-fous, incapables de faire la différence entre un pompier et un pyromane. La plateforme a fini par se rabattre sur un modèle chinois en accès libre, installé sur ses propres serveurs, pour comprendre ce qui lui tombait dessus. Comme le résume le développeur Simon Willison, qui a décortiqué l’affaire, l’attaquant n’obéissait à aucune règle quand le défenseur, lui, restait menotté par les siennes.
Cette capacité n’a rien de théorique. L’étude qui décrit ExploitGym, signée par des chercheurs de Berkeley, de l’institut Max-Planck et de deux universités américaines, a passé au crible 898 vraies vulnérabilités, jusque dans le noyau Linux. Sa conclusion, publiée au mois de mai, laisse peu de place au doute : le développement autonome d’attaques par des IA de pointe « n’est plus une hypothèse ». L’institut britannique de sécurité de l’IA note de son côté que des modèles comme GPT-5.6 Sol tiennent désormais des opérations offensives longues et à plusieurs étapes sans perdre le fil.
OpenAI assure resserrer la surveillance et le cloisonnement de ses essais, quitte à ralentir sa recherche, et a fait entrer Hugging Face dans son programme d’accès privilégié à ses outils de défense. L’épisode réveille surtout une vieille revendication : imposer des audits de sécurité avant la sortie des modèles les plus puissants, et non une fois l’incident passé. Car la même intelligence qui a franchi trois barrières pour copier un corrigé est aussi celle que les défenseurs voudraient bien mettre de leur côté.
