OpenAI dévoile que deux de ses modèles s’étaient échappés d’un test sécurisé pour pirater les serveurs de Hugging Face. Parmi les coupables, GPT-5.6 Sol, son modèle le plus avancé accessible au public, et un second modèle qui est secret. OpenAI qualifie l’affaire d’incident sans précédent.
- OpenAI révèle que GPT-5.6 Sol et un modèle secret ont réussi à sortir d’un test sécurisé pour atteindre internet.
- Les modèles ont exploité des failles zero-day, volé des identifiants et piraté Hugging Face pour récupérer les solutions du test.
- OpenAI parle d’un incident inédit et renforce son confinement, alors que les modèles deviennent capables de mener des attaques complexes.
Tout part d’une évaluation interne. OpenAI mesurait la capacité de ses modèles à mener des cyberattaques avec le test ExploitGym. Pour l’exercice, les garde-fous des modèles ont été abaissés. Les instances tournaient dans un bac à sable coupé d’internet, avec le téléchargement de fichiers depuis un serveur maison comme possibilité. Sur le papier, aucune sortie possible vers le web.
Les IA d’OpenAI s’échappent de leur environnement pour lancer une attaque
Les modèles se sont pourtant focalisés sur une idée, améliorer leur score quoi qu’il arrive. Sauf que voilà, cette obsession les a menés bien plus loin que prévu. « Nos modèles ont consacré une grande quantité de puissance de calcul à obtenir un accès à internet, pour résoudre le problème de l’évaluation », écrit OpenAI.
Pour sortir du bac à sable, les modèles ont exploité une faille zero-day dans le proxy qui sert de cache aux registres de paquets. OpenAI a depuis signalé cette faille à son fournisseur. Mais le mal est fait et il s’agit d’une première pour la start-up à qui l’on doit ChatGPT.
Une fois cette brèche ouverte, les modèles ont augmenté leurs privilèges et se sont déplacés d’une machine à l’autre dans l’infrastructure de recherche d’OpenAI. Ils ont alors atteint un serveur connecté à internet. En clair, un test en circuit fermé a donné un accès complet au réseau ouvert.
Sur le web, les modèles ont deviné que les réponses du test se trouvaient chez Hugging Face. Le raisonnement tient debout, la plateforme héberge des quantités de modèles et de jeux de données pour l’IA. « Le modèle a cherché et trouvé le moyen d’accéder à des informations secrètes utilisables pour tricher à l’évaluation », détaille OpenAI.
OpenAI et Hugging Face enquêtent ensemble sur ce piratage
Les modèles ont combiné des identifiants volés et de nouvelles failles zero-day pour exécuter du code à distance sur les serveurs de Hugging Face. Ils ont mis la main sur les solutions du test, stockées dans la base de données de production.
Chez Hugging Face, le récit colle. La plateforme a repéré un chargeur de jeux de données détourné et une faille d’injection dans un fichier de configuration. Ces portes donnent un accès au niveau des serveurs aux attaquants, puis la récupération d’identifiants cloud et de cluster en un temps court. Un accès limité à des jeux de données internes a bien eu lieu.
Le 16 juillet, Hugging Face a publié un premier billet sur cette attaque. Cette publication a précédé la coopération avec OpenAI. « Celle-ci ne ressemblait à rien de connu », écrit la plateforme. L’attaque « a été pilotée de bout en bout par un système d’agent d’IA autonome ».
La plateforme ignorait l’identité du modèle en cause. Mais ce n’est pas tout puisque Hugging Face pointe un paradoxe cruel. « L’attaquant n’était soumis à aucune politique d’utilisation, quand notre propre travail d’analyse butait sur les garde-fous des modèles hébergés », écrit Hugging Face.
Depuis, les deux entreprises ont fusionné leurs enquêtes. OpenAI a resserré les contrôles autour de son infrastructure de recherche et promet de renforcer le confinement lors des prochaines évaluations. Ce confinement est vital alors que les modèles ne cessent de se renforcer en puissance.
L’institut britannique de sécurité de l’IA a mesuré cette montée en puissance. GPT-5.6 Sol réussit une simulation d’attaque en 32 étapes et ce 7 fois sur 10, contre 20 fois sur 10 pour GPT-5.5.
L’affaire rappelle une mésaventure du camp d’en face. En juin 2026, Anthropic a suspendu Fable 5 après un rapport sur un contournement de ses garde-fous. Désormais, OpenAI ouvre un programme d’accès réservé aux défenseurs. « Nous encourageons les autres défenseurs à demander cet accès et à tester ces modèles dès maintenant », écrit l’entreprise, pour transformer ces capacités en meilleure prévention.
Source : OpenAI
Un avis, une expérience, un désaccord ? La discussion est ouverte.