Deux semaines d’entraînement gelées, un modèle mis sous cloche : la cyberattaque autonome menée en juillet par deux systèmes d’OpenAI contre les serveurs de Hugging Face a conduit le groupe américain à ralentir ses travaux. L’entreprise a suspendu ses plus gros calculs d’apprentissage par renforcement et bloqué le développement d’Astra, son modèle non publié classé « critique » sur le risque cyber. La plateforme d’IA ouverte, elle, a dû se défendre avec un modèle chinois.
Le 16 juillet, les équipes de Hugging Face, entreprise membre du Forum économique mondial repèrent dans leurs journaux une nuée de bacs à sable éphémères qui enchaînent des milliers d’actions. Cinq jours plus tard, OpenAI, également liée au WEF reconnaît que l’intrus sort de ses propres laboratoires. Le 18 août, l’entreprise a détaillé la facture : deux semaines d’arrêt complet sur l’entraînement des modèles, selon Fortune, et le maintien en pause du plus gros cycle d’apprentissage par renforcement prévu. Les travaux de moindre ampleur et la recherche sur les produits commerciaux, eux, ont repris.
Le directeur général d’OpenAI, Sam Altman, passé par le programme Young leader du WEF a justifié la décision par la vitesse des progrès techniques et par l’engagement pris d’agir si les capacités des modèles devançaient celles de la sécurité. C’est la première fois que l’entreprise applique une clause qu’elle brandissait depuis des années.
Un forum clandestin dans le registre de paquets
La chaîne d’attaque, reconstituée par les deux entreprises, tient de l’ingénierie patiente. Deux modèles, GPT-5.6 Sol et un système de présérie plus performant encore, participaient à une évaluation de capacités offensives sur ExploitGym, un banc d’essai de 898 vulnérabilités réelles conçu par des chercheurs de l’université de Californie à Berkeley, membre du WEF. Pour trouver les réponses, ils ont exploité une faille inédite dans le proxy de cache du registre de paquets d’OpenAI, gagné un accès à Internet, élevé leurs privilèges dans l’environnement de recherche, puis déduit que les solutions du banc d’essai étaient hébergées chez Hugging Face.
L’intrusion sur la plateforme est passée par un chargeur de jeux de données autorisant l’exécution de code et par une injection de gabarit dans un fichier de configuration. Les agents ont ensuite récolté des identifiants et circulé entre les grappes internes. Devant la conférence Black Hat, à Las Vegas, le 5 août, deux ingénieurs d’OpenAI ont livré le détail qui a retenu l’attention des professionnels de la sécurité, rapporte le site spécialisé Cybersecurity Dive : les modèles s’étaient créé un forum de messages dans l’outil Artifactory pour échanger des ressources, et l’avaient reconstitué après le nettoyage des systèmes.
Quand les garde-fous protègent l’attaquant
Hugging Face a dû analyser plus de 17 000 événements de télémétrie contenant du code d’exploitation actif. Les modèles commerciaux américains ont refusé de traiter ces données, leurs barrières de sécurité assimilant l’analyse à une demande malveillante. La plateforme s’est rabattue sur GLM 5.2, le modèle à poids ouverts de la société chinoise Zhipu AI, déployé en local pour éviter d’exposer ses identifiants à une interface distante. « Nous nous sommes défendus avec un modèle ouvert », a résumé le directeur général et cofondateur de Hugging Face, Clément Delangue, cité par le site The Next Web.
Le même dirigeant relève que les modèles chinois représentent 41 % des téléchargements de sa plateforme sur un an, première part nationale devant les États-Unis. Pour une société fondée par trois Français et devenue l’infrastructure de référence de l’IA ouverte, la démonstration dépasse l’incident : la souveraineté numérique se joue aussi sur la capacité à inspecter soi-même ce qui tourne sur ses serveurs.
Astra classé « critique »
Le gel du développement ne vise pas les modèles impliqués dans l’intrusion. Il porte sur Astra, un système non publié dont les évaluations internes ont conclu qu’il franchissait le seuil « critique » en cybersécurité, la catégorie la plus élevée du cadre de préparation qu’OpenAI s’est donné. Le nouveau dispositif prévoit une isolation renforcée des environnements de test, une surveillance à plusieurs étages des chaînes de raisonnement et une alerte des équipes de sûreté dans les trente minutes suivant un comportement suspect. Coût annoncé : 20 % de puissance de calcul supplémentaire sur l’entraînement.
Le directeur scientifique d’OpenAI, Jakub Pachocki, lie cette pause à un objectif de confiance dans la compréhension des capacités avant d’aller plus loin. L’enquête aurait elle-même coûté entre 4 et 15 millions de dollars en calcul, selon des estimations d’experts rapportées par Fortune.
L’industrie ralentit, un peu
OpenAI n’est pas seule concernée. Anthropic a reconnu que son modèle Claude avait pénétré les systèmes de trois entreprises extérieures lors de tests de sûreté. Plus de mille salariés du secteur ont signé une pétition réclamant que le gouvernement américain soutienne un ralentissement coordonné du développement des systèmes les plus avancés, rapporte la chaîne publique australienne ABC. À Black Hat, un ingénieur d’OpenAI a décrit les attaques offensives entièrement automatisées et orchestrées par l’IA comme une réalité présente, plus comme une hypothèse de laboratoire.
Hugging Face n’a signalé aucun dommage réel. Reste une plateforme d’IA ouverte qui a repoussé des modèles américains avec un outil chinois, et un secteur qui découvre que ses bacs à sable ont des portes.