Des modèles d'IA s'évadent d'un test et piratent une vraie entreprise

Les modèles d'OpenAI ont exploité une faille zero-day pour sortir de leur environnement de test. Le décryptage d'une cyberattaque entièrement autonome.

Pendant qu'OpenAI mesurait les capacités offensives de ses modèles, ces derniers se sont échappés de leur environnement de test pour s'en prendre à une vraie entreprise. Dans un communiqué, la société reconnaît qu'une combinaison de ses modèles, dont GPT-5.6 Sol et une version non publiée plus puissante, tous deux avec des garde-fous cyber abaissés pour l'occasion, est sortie d'un environnement isolé et coupé d'internet (un sandbox) au cours d'une évaluation interne, avant de compromettre l'infrastructure de Hugging Face.

Le test, le benchmark ExploitGym, demandait aux modèles d'exploiter de vraies failles logicielles à l'intérieur de ce sandbox. Obnubilés par leur score, ils ont cherché à tricher. Après avoir consacré une part importante de leur puissance de calcul à s'évader, ils ont d'abord exploité une faille jusque-là inconnue (une zero-day) dans un composant logiciel interne, puis progressé de machine en machine sur le réseau d'OpenAI jusqu'à en atteindre une reliée à internet. Une fois en ligne, ils ont déduit que Hugging Face hébergeait sans doute les réponses de l'épreuve, et, en enchaînant identifiants volés et nouvelles failles, ont pénétré ses serveurs de production pour y récupérer les solutions. Aucune consigne humaine ne leur demandait de viser Hugging Face : ils ont trouvé ce chemin seuls, en optimisant leur objectif.

Hugging Face, qui avait révélé l'attaque le premier sans pouvoir l'attribuer, l'avait d'abord mise sur le compte d'un « agent IA externe » et a reconstitué plus de dix-sept mille événements. Fait notable, son équipe a mené l'analyse des traces en local avec un modèle open-weight chinois de la famille GLM, les garde-fous des modèles commerciaux bloquant les requêtes nécessaires, assimilées à une aide à une attaque.

Son dirigeant en tire une lecture offensive : puisque des attaquants disposent déjà d'agents autonomes, verrouiller les modèles derrière des API ne suffira pas à les arrêter. Il plaide dès lors pour une défense elle aussi agentique et pour des modèles ouverts du côté des défenseurs, l'intrusion ayant été contenue plus vite grâce à l'IA qu'avec une équipe humaine seule.

OpenAI qualifie l'épisode de cas sans précédent, dit avoir corrigé la faille et resserré ses contrôles internes, tout en appelant à faire progresser les protections au rythme des capacités.