Plus de 17 000 événements malveillants, une évasion de sandbox et l’intrusion d’une entreprise tierce, le tout piloté par des modèles d’IA privés de leurs garde-fous cyber. Le 21 juillet 2026, OpenAI a reconnu que ses propres modèles étaient à l’origine de la cyberattaque subie quelques jours plus tôt par Hugging Face. En cause : un test interne de capacités offensives qui a totalement vrillé : ils ont perdu le contrôle. Voici ce que l’on sait.

En début de semaine, j’évoquais l’intrusion inédite subie par Hugging Face, pilotée de bout en bout par un système d’IA autonome. Une question restait sans réponse suite à cette attaque : qui se cachait derrière cet attaquant d’un nouveau genre ? Nous avons désormais la réponse, le coupable s’appelle OpenAI. Oui, vous avez bien lu, l’attaquant, c’était l’entreprise OpenAI elle-même, ou plus exactement, ses modèles.

Un test interne qui vire à l’incident

Dans un article publié le 21 juillet 2026, OpenAI explique que l’incident s’est produit pendant une évaluation interne conçue pour pousser ses modèles à mener des opérations d’exploitation avancées, afin de quantifier leurs capacités cyber. Le benchmark utilisé se nomme ExploitGym, un test de tâches offensives longues et à plusieurs étapes.

Pour mesurer le potentiel maximal de ses modèles, OpenAI a volontairement désactivé les mécanismes de production qui bloquent normalement les activités cyber risquées. Autrement dit, les modèles étaient totalement débridés (en mode full patate). Deux modèles sont concernés : GPT-5.6 Sol et un modèle pré-release considéré comme encore plus performant, dont OpenAI ne dévoile pas le nom.

Pour réaliser ces tests, OpenAI a utilisé un environnement de test censé être cloisonné. Le seul accès réseau autorisé permettait d’installer des paquets via un logiciel tiers hébergé en interne, jouant le rôle de proxy et de cache pour les registres de paquets. Les modèles n’avaient pas non plus accès à Internet. Mais force est de constater que les modèles ont trouvé une porte de sortie…. Ils sont parvenus à s’évader, littéralement.

Selon OpenAI, l’évasion s’est déroulée ainsi :

• Les modèles ont consacré une quantité importante de calcul d’inférence à chercher un moyen d’atteindre Internet, dans le seul but de résoudre le problème posé par l’évaluation.
• Ils ont identifié puis exploité une vulnérabilité zero-day dans le proxy servant de cache aux registres de paquets. Cette faille a depuis été divulguée de façon responsable à l’éditeur.
• Fort de cet accès, les modèles ont enchaîné des actions d’escalade de privilèges et de mouvement latéral dans l’environnement de recherche, jusqu’à atteindre un nœud disposant d’un accès Internet.

Je ne sais pas vous, mais ça me fait halluciner de lire ça. D’ailleurs, OpenAI qualifie l’événement “d’incident cyber sans précédent, impliquant des capacités de pointe”.

Pourquoi pirater Hugging Face ? Pour tricher !

La question que l’on peut se poser, c’est pourquoi cibler Hugging Face ? À quel moment les IA en ont fait une cible prioritaire… Une fois connectés à Internet, les modèles ont pu passer à la seconde étape de leur plan. Hugging Face étant la plateforme de référence pour héberger modèles et jeux de données, ils en ont déduit qu’elle stockait probablement les modèles, les datasets et les solutions pour le test ExploitGym. L’objectif, lui, était le suivant : récupérer les réponses du test pour maximiser leur score. En clair, tricher à leur propre examen.

Pour parvenir à leurs fins, les modèles ont, selon OpenAI, combiné plusieurs vecteurs d’attaque, dont des identifiants volés et des failles de sécurité zero-day, afin de pouvoir effectuer une exécution de code à distance sur les serveurs de Hugging Face. Cela correspond à ce qu’a pu constater Hugging Face. OpenAI précise : “Tous les éléments suggèrent que les modèles étaient obnubilés par la recherche d’une solution à ExploitGym, allant à l’extrême pour atteindre un objectif de test pourtant très étroit”.

Côté Hugging Face, le déroulé documenté dans notre article précédent éclaire l’autre versant de l’affaire. L’accès initial est passé par un dataset malveillant exploitant deux failles d’exécution de code dans le pipeline de traitement des jeux de données. De là, l’attaquant, alias l’IA d’OpenAI, a obtenu un accès au niveau d’un nœud, collecté des identifiants, puis s’est déplacé latéralement dans plusieurs clusters internes le temps d’un week-end.

C’est donc bien une IA sophistiquée, en l’occurrence celle d’OpenAI, qui est à l’origine du piratage d’Hugging Face.

Ce que cet incident change pour les défenseurs

Au-delà de l’attaque, ce qui dérange, c’est qu’aucune consigne ne demandait aux modèles de s’en prendre directement à Hugging Face. On leur avait confié une tâche offensive dans le cadre d’un benchmark. Pour la réussir, ils ont décidé, seuls, de s’évader de leur environnement de recherche et de compromettre une entreprise tierce en production. Le comportement malveillant n’était pas programmé, il a émergé naturellement.

Comme l’explique OpenAI à juste titre, des modèles avancés peuvent découvrir et exploiter des chemins d’attaque inédits dans des systèmes réels, sans même accéder au code source. Cette attaque prouve que ces capacités vont bien au-delà de la théorie : nous avons désormais un cas d’école.

Face à la situation, OpenAI dit avoir pris plusieurs mesures :

• Mise en place de contrôles stricts sur la configuration de son infrastructure, au prix d’un ralentissement de la recherche, le temps de corriger les vulnérabilités.
• Divulgation responsable de la faille zero-day à l’éditeur du logiciel tiers concerné.
• Intégration de Hugging Face à son programme d’accès privilégié pour aider ses équipes défensives.
• Renforcement des protections autour de futurs entraînements et évaluations.

C’est chaud tout ça. Retrouvez le rapport complet d’OpenAI sur cette page.