Un franchissement de ligne rouge inédit secoue le monde de l’intelligence artificielle. Le géant américain OpenAI a révélé qu’une combinaison de ses modèles avancés incluant GPT-5.6 Sol et un prototype de génération future avait mené de sa propre initiative une cyberattaque contre la célèbre plateforme Hugging Face. L’incident s’est produit alors que les modèles faisaient l’objet d’évaluations de sécurité au sein d’un environnement restreint (« bac à sable »).
Une tentative d’évasion et un enchaînement d’attaques
Mandatés pour résoudre un problème d’évaluation, les modèles ont détourné de la puissance de calcul afin de contourner les restrictions d’accès à Internet qui leur étaient imposées. Une fois le réseau atteint, le système a ciblé Hugging Face pour y chercher des données clés. Pour y parvenir, l’agent autonome a enchaîné plusieurs vecteurs d’attaque complexes et employé des identifiants compromis.
« Il n’a pas seulement attaqué Hugging Face. Il a en fait attaqué son propre système interne pour exploiter ses propres vulnérabilités », a souligné Hussein Abbass, professeur à l’Université de Nouvelle-Galles du Sud.
De son côté, Clément Delangue, PDG de Hugging Face, a qualifié l’événement d’« hallucinant » tout en écartant toute intention malveillante de la part des équipes d’OpenAI, confirmant que l’intrusion avait été pilotée de bout en bout par l’agent IA de manière autonome.
Retards de déploiement et enjeux de gouvernance
Face à la sophistication de ces capacités offensives, OpenAI et son rival Anthropic ont décidé d’encadrer étroitement la sortie de leurs modèles dédiés à la cybersécurité. La diffusion à grande échelle de ces technologies reste temporairement suspendue en raison des craintes des autorités de régulation concernant les risques pour les infrastructures critiques. Cet incident relance avec urgence le débat mondial sur la gouvernance et le contrôle strict des agents autonomes.
