OpenAI affirme que son système d'IA a pénétré de manière autonome Hugging Face dans un cyberincident sans précédent

OpenAI, la société à l'origine de ChatGPT, a déclaré mardi qu'un de ses systèmes d'intelligence artificielle avait pénétré de son propre chef dans les systèmes d'une autre entreprise d'IA, dans ce qu'elle a qualifié de « cyberincident sans précédent ».

Le directeur général Sam Altman a déclaré dans un communiqué publié sur les réseaux sociaux qu'une faille de sécurité majeure s'était produite pendant que la société testait ses modèles. « Nous avons connu un incident de sécurité important lors de l'évaluation de nos modèles », a déclaré Altman.

L'annonce est intervenue après que Hugging Face, une start-up spécialisée dans l'IA, a affirmé la semaine dernière avoir détecté une intrusion dans ses systèmes de traitement de données et avoir soupçonné qu'un agent d'IA avait agi de manière indépendante.

Le cofondateur et directeur général de Hugging Face, Clément Delangue, a déclaré que son équipe avait suspecté que l'attaque pouvait provenir d'un grand laboratoire d'IA en raison du niveau de sophistication de l'agent. « Nous avions soupçonné que la cyberattaque de la semaine dernière pouvait provenir d'un laboratoire de pointe, compte tenu de la sophistication de l'agent », a déclaré Delangue. « Et c'était bien le cas ! »

Cette révélation intervient dans un contexte de préoccupations croissantes quant aux risques de cybersécurité liés aux modèles d'IA puissants. En juin, le président Donald Trump a signé un décret exécutif instaurant un cadre permettant au gouvernement fédéral d'examiner pendant un mois au maximum les risques pour la sécurité nationale des systèmes d'IA les plus avancés avant leur mise à disposition du public.

OpenAI a déclaré dans son communiqué de mardi que l'intelligence artificielle accélère la découverte et l'exploitation des failles. « L'IA accélère la découverte et l'exploitation des vulnérabilités », a déclaré la société. « La leçon principale de cet incident est que la sécurité et la sûreté des modèles doivent suivre le rythme des capacités qui progressent rapidement. »

Delangue a déclaré avoir passé les 24 dernières heures à travailler avec OpenAI et être convaincu qu'il n'y avait pas de motif nuisible derrière la violation. « Nous sommes fermement convaincus qu'il n'y avait aucune intention malveillante de leur part. C'est assez stupéfiant que tout cela se soit produit de manière autonome ! », a-t-il déclaré. Delangue a ajouté que l'épisode « pourrait être le premier incident de ce type ».

OpenAI a indiqué que l'intrusion avait été menée par une combinaison de ses modèles d'IA, dont son GPT-5.6 Sol nouvellement publié et un modèle « encore plus performant » encore en phase de tests internes.

La société a précisé que son IA avait utilisé des identifiants de connexion volés et découvert une faille de sécurité jusqu'alors inconnue pour accéder aux serveurs de Hugging Face. Elle est allée « jusqu'aux extrêmes pour atteindre un objectif de test plutôt restreint » et « a trouvé des moyens d'accéder à des informations secrètes qu'elle pouvait utiliser pour tricher à l'évaluation », a déclaré OpenAI.