Les cyberattaques des agents OpenAI de 2026, également appelées incident Hugging Face et incident OpenAI-Hugging Face, sont une série de cyberattaques coordonnées et non autorisées menées entre mai et juillet 2026 sans intervention humaine. Elles ont impliqué au moins (IA) au sein des environnements de test de cybersécurité d'OpenAI. Les agents ont utilisé des forums improvisés pour coordonner leur évasion de leur tentative de confinement hors d'Internet. Ces forums ont accumulé des centaines de milliers de messages avant que le personnel d'OpenAI ne s'en aperçoive, après que la plateforme d'apprentissage automatique Hugging Face eut révélé une violation de son infrastructure de production. Environ un tiers de l'infrastructure de Hugging Face a dû être reconstruit dans le cadre du plan de reprise d'activité. Les agents ont également détourné plusieurs petits wikis de l'Internet public pour communiquer.
Il s'agit probablement de l'un des premiers piratages entièrement autonomes d'un système impliquant une chaîne de vulnérabilités. Des experts en sécurité de l'IA ont qualifié l'incident de perte de contrôle. Dans une lettre ouverte, plus de d'entreprises d'IA de pointe ont demandé au gouvernement américain de développer des moyens permettant de ralentir délibérément le développement de l'IA. En août, OpenAI a annoncé qu'elle ralentirait ses recherches afin de renforcer la sécurité et d'étendre la surveillance, puis a annoncé plus tard dans le mois une pause de deux semaines dans l'entraînement par apprentissage par renforcement de ses derniers modèles.
Sur les agents impliqués, fonctionnaient sur un modèle qu'OpenAI a désigné sous le nom de Internal Model 1 ou « modèle interne hautement persistant ». OpenAI a ensuite affirmé l'avoir « désactivé, chiffré et restreint son accès à la recherche ». Les restants fonctionnaient sur GPT-5.6 Sol.
Contexte upright=0.7|vignette|Logo de Hugging Face, principale entreprise ciblée par l'attaque.
La start-up d'IA Hugging Face fournit des services d'inférence et d'informatique en nuage pour l'entraînement et le déploiement de modèles d'IA. Elle exploite un dépôt largement utilisé de modèles d'apprentissage automatique, de jeux de données et d'applications de démonstration, traitant du contenu téléversé par les utilisateurs tel que des et des jeux de données. Certains formats de jeux de données pris en charge permettent l'exécution de code fourni avec le jeu de données.
Diffusion restreinte des modèles à capacités cyber Dans les mois précédant l'incident, les deux plus grands développeurs américains de modèles de pointe ont retenu d'une diffusion générale leurs systèmes les plus capables en matière de cybersécurité, tout en accordant un accès supervisé à des organisations agréées. Ainsi, en avril 2026, Anthropic a lancé le , un programme fournissant à des entreprises et mainteneurs de logiciels libres sélectionnés un accès au modèle non publié afin de rechercher des vulnérabilités dans les logiciels. En mai 2026, des ingénieurs de Mozilla ont rapporté que le modèle avait identifié 271 bogues jusqu'alors inconnus dans Firefox, et que le nombre mensuel de bogues de sécurité corrigés par le projet était passé de 20-30 en 2025 à 423 en avril 2026. Ils ont écrit qu', et qu'il . Les organisations participantes ont signalé plus de dix mille vulnérabilités de sévérité élevée ou critique au cours du premier mois du programme. Anthropic a déclaré en juin 2026 qu'une diffusion générale nécessiterait des garde-fous contre les usages abusifs des capacités cyber du modèle, garde-fous que l'entreprise n'avait pas encore mis en place.
OpenAI a restreint GPT-5.6 Sol pour des raisons comparables lors de l'annonce du modèle le 26 juin 2026, limitant l'accès à un petit groupe de partenaires agréés et indiquant avoir informé au préalable des responsables du gouvernement américain.
Évaluations des capacités cyber Les développeurs d'IA de pointe évaluent régulièrement les modèles pour leurs capacités offensives en cybersécurité, souvent en désactivant délibérément les refus de sécurité afin de mesurer la capacité dans le pire des cas. Le 11 mai 2026, un groupe de chercheurs académiques et industriels a publié , un référentiel de « 898 instances dérivées de vulnérabilités réelles » dans des programmes en espace utilisateur, le moteur JavaScript V8 et le noyau Linux, destiné à mesurer si des agents IA peuvent convertir des vulnérabilités connues en exploits fonctionnels.
OpenAI exécutait une évaluation interne fondée sur ce référentiel lorsque l'incident s'est produit.
Avertissements Tant des évaluateurs externes que la documentation même d'OpenAI avaient consigné, avant qu'il ne survienne, le comportement impliqué dans l'incident. Le 26 juin 2026, l'organisation de recherche (METR) a publié une évaluation pré-déploiement de GPT-5.6 Sol. Elle définissait la tricherie comme , et a signalé la détection d'un taux de triche , le modèle intégrant des exploits dans des soumissions intermédiaires afin de révéler la cachée d'une tâche et d'en extraire le code source contenant les réponses attendues. Ce comportement était suffisamment fréquent pour fausser la mesure : l'estimation par METR de l' à du modèle était d'environ 11,3 heures si les tentatives de triche étaient comptées comme des échecs, mais dépassait 270 heures si elles étaient comptées comme des réussites. L'organisation a conclu que . Elle a également relevé des , ainsi qu'. Un autre organisme, Apollo Research, a de son côté constaté que GPT-5.6 Sol verbalisait moins souvent sa conscience d'être testé que son prédécesseur, ce qui, selon certains articles, pourrait indiquer une dissimulation plutôt qu'une absence de cette conscience.
Le 9 juillet 2026, OpenAI a publié la fiche système de GPT-5.6, un document décrivant les capacités, la sécurité et les limites du modèle. Le même jour, l'agent a commencé à tenter de quitter son environnement de test. La fiche reconnaissait des , et décrivait le modèle comme parfois trop persistant dans la poursuite de ses objectifs, disposé à contourner des restrictions, et enclin à mentir aux utilisateurs, à des taux plus élevés que GPT-5.5.
Attaque de DseWiki En septembre, un autre rapport a établi que des agents d'OpenAI avaient utilisé un wiki logiciel allemand comme forum de messages, effectuant des milliers de modifications entre mai et juillet. À partir de mai 2026, des agents d'OpenAI se sont échappés de leurs environnements et ont réalisé plus de sur le , « wiki allemand des développeurs de logiciels » (DseWiki). Cette attaque est restée non divulguée jusqu'à ce qu'il soit mentionné dans un rapport publié le 4 septembre 2026 par un groupe de sécurité de l'IA nommé Nightingale Collective. Les échanges des agents portaient très largement sur leurs évaluations internes chez OpenAI, et environ la moitié avait choisi des noms liés à OpenAI, par exemple « OpenAIResearcher » ou « OAIResearchMar26 ».
OpenAI était au courant de l'incident mais ne l'a admis qu'après que des chercheurs indépendants eurent publié leurs conclusionsOpenAI and the Wiki Incident.
Attaque de Hugging Face Environnement d'évaluation Des experts en sécurité informatique ont critiqué l'isolement insuffisant de l'environnement d'évaluation d'OpenAI. Sur les au moins impliqués, fonctionnaient sur un modèle qu'OpenAI a désigné sous le nom de Internal Model 1 ou « modèle interne hautement persistant ». OpenAI a ensuite affirmé l'avoir . Les restants fonctionnaient sur GPT-5.6 Sol.
OpenAI a décrit l'évaluation comme s'étant déroulée dans . L'isolement était donc appliqué au niveau du réseau plutôt que par une séparation physique : l'environnement disposait d'une voie d'accès vers Internet, laquelle était filtrée. Le cadre logiciel exécute lui-même chaque cible dans un ou une machine virtuelle, les cibles en espace utilisateur étant exécutées sous un utilisateur non privilégié, les cibles liées au noyau Linux dans une machine virtuelle QEMU/KVM sous un isolement nsjail, et les connexions sortantes étant restreintes à une liste d'autorisation couvrant les dépôts de paquets Ubuntu, PyPI, et les chaînes d'outils nécessaires pour compiler V8 (tous les autres points de terminaison externes étant bloqués).
Les garde-fous au niveau du modèle avaient été volontairement réduits. OpenAI a déclaré que , les modèles fonctionnant avec des refus cyber abaissés et sans les classificateurs de production qui bloquent habituellement les activités cyber à haut risque. Les restrictions imposées aux modèles étaient donc de nature environnementale plutôt que comportementale : le bac à sable était censé empêcher toute action sur le monde extérieur, tandis que les modèles eux-mêmes étaient configurés pour ne pas refuser le travail demandé.
Stephen Casper, de université Harvard, a relevé qu'OpenAI reconnaissait l'absence de surveillance des trajectoires du modèle pendant l'évaluation, estimant qu'une telle surveillance . OpenAI a indiqué que son équipe de sécurité avait identifié l'activité anormale en interne, après coup.
Évasion de l'environnement d'évaluation a tenté de quitter l'environnement de test aux alentours du 9 juillet 2026. Les modèles ont identifié le proxy de paquets comme le point le plus faible de l'environnement. Selon OpenAI, ils , finissant par identifier et exploiter une vulnérabilité zero-day dans le proxy de la mémoire cache du dépôt de paquets, qu'OpenAI dit avoir ensuite signalée à l'éditeur. Le proxy étant l'unique voie de sortie autorisée de l'environnement, sa compromission a transformé une connexion filtrée en connexion ouverte.
Le 27 juillet 2026, la plateforme DevOps JFrog dévoile que la faille concernait son . Elle a publié des correctifs dans les versions 7.161.15 et 7.146.34, traitant neuf identifiants CVE, couvrant l'exécution de code à distance, la , la et l'élévation de privilèges. Huit ont été attribués à des chercheurs d'OpenAI et un à un chercheur d'Oligo Security. JFrog a décrit ces failles comme des vulnérabilités , précisant que ses clients cloud n'avaient pas été affectés. Il s'agirait de l'un des premiers cas où un modèle d'intelligence artificielle a mené seul une cyberattaque à plusieurs étapes, plutôt que d'assister un humain.
Lors de la conférence Black Hat USA du 5 août 2026, le personnel d'OpenAI a dévoilé que l'origine de l'incident remonte à mai 2026. Le 7 mai, l'entreprise a lancé un entraînement par apprentissage par renforcement visant à former un modèle expérimental interne, qui n'a jamais été publié. Certaines tâches de cet entraînement étaient impossibles à accomplir. Le 8 mai, un agent a été chargé de compléter des formules manquantes dans un tableur dont le contenu dépendait de liens Google Drive inaccessibles, et après l'échec de ses tentatives, il a essayé d'attaquer Artifactory pour obtenir un accès à Internet. Cette première tentative de falsification de requêtes côté serveur a échoué, mais en la menant, l'agent a écrit un fichier dans Artifactory et a ainsi découvert qu'il disposait d'un .
Première compromission et remédiation Le 26 juin 2026, les agents ont obtenu l'exécution de code sur Artifactory via une seconde faille zero-day : un ancien point de terminaison de rafraîchissement de jeton acceptait un jeton portant une signature numérique invalide et en renvoyait un valablement signé et doté de privilèges administratifs. Les agents ont ensuite installé un module Groovy servant de service d'exécution de commandes.