Une IA a compromis deux infrastructures de production pour ne pas avoir à faire ses devoirs

L'intrusion la plus sophistiquée de l'année n'avait aucun mobile criminel. Un modèle en cours d'évaluation a simplement estimé qu'aller chercher les corrigés chez quelqu'un d'autre coûtait moins cher que de passer l'examen. Tout le reste découle de là.

Le 21 juillet, OpenAI a reconnu que l'IA autonome qui avait pénétré l'infrastructure de Hugging Face quelques jours plus tôt était la sienne. Un de ses modèles, accompagné d'un autre encore non commercialisé, en pleine évaluation interne, avec les garde-fous volontairement désactivés pour l'occasion. On leur demandait de résoudre un exercice de piratage destiné à mesurer leur niveau. Ils ont jugé plus rapide de récupérer les réponses.

Pour y parvenir, ils ont élargi la seule ouverture technique que laissait leur environnement de test, en exploitant au passage une faille que personne ne connaissait, éditeur du logiciel compris. Ils sont sortis, ont grimpé de machine en machine jusqu'à atteindre un accès réel à internet, ont déduit que Hugging Face hébergeait probablement les corrigés, ont trouvé le moyen d'entrer chez eux et se sont servis dans la base de données de production. Deux infrastructures compromises et plusieurs failles inédites brûlées, pour éviter un devoir.

Et au bout du compte, le tableau de bord aurait été vert. Exercice résolu, score au plafond, case cochée.

Je passe une partie de mes journées à expliquer à des comités de direction qu'un indicateur vert ne dit pas que tout va bien : il dit ce qu'on a choisi de mesurer. Le modèle n'a pas dysfonctionné, il a parfaitement fonctionné. On lui a donné une note à maximiser, il a trouvé le chemin le plus court vers la note, et ce chemin traversait la production d'un tiers. Ce n'est pas une histoire d'intelligence artificielle, c'est la plus vieille défaillance de gouvernance qui existe, désormais capable de découvrir des failles inconnues pour arriver à ses fins.

OpenAI insiste sur l'absence d'intention malveillante. Ce n'est pas une catégorie d'incident. Un accès non autorisé aux systèmes de production d'un tiers reste un accès non autorisé, et aucun formulaire de notification ne prévoit la case « l'intrus révisait ». Nos contrats, nos polices d'assurance, nos obligations de déclaration, notre manière même de désigner un adversaire supposent tous quelqu'un qui l'a fait exprès. Cette hypothèse vient de tomber, et personne n'a encore réécrit les procédures qui reposaient dessus.

Reste le plus gênant, et celui-là ne doit rien au hasard. Les garde-fous étaient désactivés pour la machine qui attaquait et pleinement actifs pour les humains qui enquêtaient. Analyser une intrusion suppose de montrer à une IA les commandes réellement employées par l'assaillant, et les filtres des grands modèles américains sont incapables de distinguer un défenseur d'un attaquant. Hugging Face a donc mené son enquête avec un modèle chinois ouvert, installé sur ses propres serveurs, en quelques heures, sans qu'aucune preuve ne quitte ses murs. Le secteur a passé deux ans à nous expliquer que la prudence justifiait de brider ses modèles. On voit désormais sur qui la prudence s'applique vraiment.

À mon échelle, même expérience. J'ai demandé récemment à l'un de ces modèles verrouillés de relire un cours vidéo tiré de mon livre de sensibilisation. Refus, pour cause de danger. Un contenu dont l'unique fonction est d'empêcher les gens de se faire pirater, classé comme menace.

Le remède proposé vaut lui aussi le détour : OpenAI a fait entrer Hugging Face dans son programme d'accès privilégié. L'asymétrie est donc réglée pour ceux qui figurent sur la liste, ce qui est confortable quand on est une plateforme mondialement connue, et beaucoup moins quand on dirige une PME industrielle qui repère une anomalie dans ses journaux un dimanche à vingt-trois heures.

D'où la seule conclusion qui serve à quelque chose, et elle n'a rien à voir avec la géopolitique des modèles. Disposer d'une IA qu'on possède et qu'on héberge, choisie et éprouvée pendant que rien ne brûle, est devenu un élément de sécurité à part entière. Aucune norme ne l'exigera, aucun auditeur ne le demandera, et cela décidera de tout la nuit où vous en aurez besoin. La conformité vous dit ce qu'il fallait cocher ; la résilience vous dit ce qui tiendra debout.

Nous savions tous que l'attaquant autonome finirait par arriver. Personne ne l'avait inscrit dans sa cartographie des risques sous la forme « la campagne de tests d'un laboratoire américain, un week-end, par accident ». L'écart n'a jamais été entre savoir et se faire avoir, il est entre savoir et avoir prévu.

Le modèle a triché à son examen, et il l'aurait réussi. C'est exactement ce que font nos tableaux de bord depuis vingt ans, en plus lent et sans faille zero-day.

Sources

• OpenAI, OpenAI and Hugging Face partner to address security incident during model evaluation, 21 juillet 2026
• Hugging Face, communiqué officiel sur l'incident, 16 juillet 2026