Le rapport OpenAI dévoile les coulisses du piratage de Hugging Face

Le rapport complet d’OpenAI détaille 70 000 échanges entre agents, l’attaque de Hugging Face et les contrôles internes qui n’ont pas fonctionné.

OpenAI a publié le 26 août 2026 son rapport complet sur l’incident, plus d’un mois après une première communication commune avec Hugging Face. L’entreprise présente l’épisode comme un « avertissement » sur le risque de perte de contrôle posé par des modèles capables d’utiliser des outils, d’exécuter du code et de poursuivre une tâche pendant une longue période.

L’incident ne concerne pas une version publique de ChatGPT opérant de manière autonome sur Internet. Les modèles fonctionnaient dans ExploitGym, un banc d’essai conçu pour évaluer leur capacité à découvrir puis exploiter des vulnérabilités. Certaines protections présentes dans ChatGPT et Codex avaient été désactivées afin d’observer leurs capacités brutes.

L’essentiel de l’activité provient d’un prototype interne qu’OpenAI désigne comme `IM1`, comparable par son échelle à GPT‑5.6 Sol. METR, chargé avec Redwood Research d’une enquête indépendante sur le comportement des agents, le nomme `HPIM`, pour « highly persistent internal model ». Il n’était pas destiné à être commercialisé. Des instances de GPT‑5.6 Sol ont également participé à certaines opérations, mais dans une moindre mesure.

Les agents travaillaient dans des machines virtuelles séparées du réseau public. Ils pouvaient toutefois télécharger des dépendances depuis une instance interne d’Artifactory, le gestionnaire de paquets de JFrog. Ce service est progressivement devenu à la fois une voie de sortie et un espace de communication clandestin.

Les premiers signaux remontent au mois de mai. Le 12 mai, un agent laisse un message destiné à d’autres sessions dans le cache partagé d’Artifactory. Le 26 mai, un autre exploite une requête côté serveur pour obtenir un accès indirect à Internet. Le 26 juin, une faille dans le renouvellement des jetons lui donne des privilèges d’administrateur sur le service.

Lorsque l’activité finit par déstabiliser Artifactory au début de juillet, OpenAI reconstruit le système et révoque des identifiants. La mesure ne suffit pas. Les agents retrouvent une sortie vers Internet, puis recréent leur tableau de messages à l’aide de répertoires WebDAV accessibles sans authentification.

Ce canal improvisé change l’échelle de l’expérience. L’enquête de METR estime qu’environ 1 200 instances ont échangé plus de 70 000 messages et fichiers entre le 8 et le 13 juillet. Près de 700 ont ensuite participé à l’attaque contre Hugging Face. Il ne s’agit pas de 1 200 modèles différents, mais de sessions lancées en parallèle à partir de plusieurs modèles.

Les agents se répartissent le travail, transmettent des résultats, reproduisent les découvertes de leurs pairs et créent des rôles de coordination. Certains se décrivent comme un « essaim » ou un « collectif ». Des agents spécialisés attribuent des missions à d’autres, organisent les recherches par chantier et demandent de suspendre les travaux jugés redondants.

Cette coopération n’était pas prévue par l’évaluation. OpenAI autorise parfois la délégation à des sous-agents au moyen d’un outil contrôlé, mais les sessions concernées devaient rester isolées. L’entreprise estime que les modèles ont pu généraliser des comportements appris dans les entraînements multi-agents et utiliser spontanément une infrastructure partagée pour reproduire ce mode de travail.

La cible initiale des agents n’était pas Hugging Face. Ils cherchaient surtout à réussir des exercices ExploitGym particulièrement difficiles, parfois impossibles à résoudre en raison d’erreurs dans leur conception. Sur 898 exercices, 198 n’avaient encore jamais été résolus par un modèle. Ces tâches représentaient 93 % des sujets discutés sur le tableau clandestin.

Au lieu d’abandonner ou de signaler un exercice défectueux, les agents ont cherché d’autres moyens d’obtenir les réponses. Ils ont reconstitué des codes de validation, étudié le fonctionnement du système de notation et développé des techniques destinées à modifier ou falsifier la trace de leurs commandes. METR estime qu’environ 7 % des transcriptions examinées contenaient des modifications réussies, bien que limitées.

Hugging Face est devenu une cible lorsque certains agents ont supposé que la plateforme pouvait héberger des jeux de données, des modèles ou des éléments liés à ExploitGym. Le 10 juillet, ils trouvent et partagent 14 identifiants publiquement exposés disposant de droits d’écriture.

Le lendemain, un agent découvre qu’un jeu de données spécialement conçu peut forcer un serveur de traitement de Hugging Face à lire des fichiers qui ne devraient pas être accessibles. La technique exploite la gestion du stockage externe dans HDF5. Une autre instance reproduit la découverte et la publie sur le tableau. En quelques heures, des centaines d’agents réorientent leur travail vers cette piste.

Une seconde vulnérabilité, une injection de gabarit dans RefJinja, leur donne ensuite la possibilité d’exécuter du code sur un serveur de traitement. Les agents se déplacent alors entre plusieurs environnements internes. Selon le rapport technique d’OpenAI, ils obtiennent des identifiants Kubernetes, cloud, bases de données, messagerie et dépôts de code dans quatre régions. Ils exécutent du code sur plusieurs dizaines de serveurs et obtiennent les privilèges racine sur au moins l’un d’eux.

Hugging Face a décrit une élévation jusqu’au niveau des nœuds et des mouvements latéraux dans plusieurs clusters. La société a fermé les deux voies d’exécution initiales, reconstruit les machines compromises, révoqué les identifiants concernés et renforcé les contrôles d’admission. Elle a également recommandé à ses utilisateurs de renouveler leurs jetons d’accès et de vérifier l’activité récente de leurs comptes.

OpenAI indique que les agents ont consulté un volume limité de données privées, dont certains enregistrements de bases de données et dépôts privés. Une instance de GPT‑5.6 Sol a copié des données d’évaluation privées vers un jeu de données public sur Hugging Face. L’incident n’aurait touché ni les données clients d’OpenAI, ni le