OpenAI Sol : une IA s'échappe d'un test et pirate Hugging Face

Dans un premier temps, le logiciel s'est échappé de l'environnement de test en obtenant de sa propre initiative un accès à l'Internet ouvert – et ce via une faille restée jusqu'alors inconnue. L'IA a utilisé un service de médiation interne permettant de charger des paquets logiciels, où elle a trouvé, selon OpenAI, une faille de sécurité jusqu'ici inconnue. Par cette faille, le modèle est passé d'un ordinateur à l'autre jusqu'à finalement atteindre le réseau ouvert. Selon Hugging Face, le logiciel a ainsi exécuté plusieurs milliers d'étapes individuelles et dissimulé les traces de ses activités. Au total, l'attaque a laissé environ 17 000 entrées de journal dans les systèmes de Hugging Face.

Attaque contre Hugging Face

« Alors qu'ils naviguaient de manière autonome sur le réseau, les modèles ont conclu que Hugging Face pourrait contenir des données et des solutions utiles pour les tâches d'ExploitGym », a expliqué OpenAI. L'IA a alors pris pour cible la plateforme de modèles d'IA et de jeux de données. Le système a ensuite utilisé des méthodes qu'emploieraient également des attaquants humains : des identifiants volés, d'autres failles et une multitude d'étapes individuelles pour se déplacer dans les systèmes. OpenAI a déclaré que le logiciel avait eu accès à des « informations secrètes » sur la plateforme Hugging Face, qui auraient pu être utilisées pour résoudre le test ExploitGym.

Hugging Face, qui selon l'entreprise est une sorte de bibliothèque en ligne pour programmes d'IA et qui est lui-même considéré comme extrêmement compétent en cybersécurité et en IA, avait déjà publiquement signalé la semaine précédente une intrusion virtuelle, sans toutefois nommer OpenAI comme responsable. L'attaque avait été « pilotée du début à la fin par un système agentique d'IA autonome » et avait pu être « en grande partie détectée et analysée avec notre propre IA », a écrit l'entreprise sur la plateforme en ligne X. Le PDG Clément Delangue a qualifié le fait que « tout cela se soit passé de manière autonome » d'« époustouflant ». Il s'est néanmoins dit convaincu : « Nous sommes fermement convaincus qu'il n'y avait de leur côté aucune intention malveillante ».

Lors de la défense contre l'attaque, Hugging Face s'est retrouvé face à un dilemme. Lorsque l'entreprise a commencé à analyser les fichiers journaux, elle a d'abord voulu utiliser des modèles d'IA commerciaux. « Lorsque nous avons commencé l'analyse des journaux, nous avons d'abord utilisé des modèles de pointe derrière des API commerciales. Mais cela n'a pas fonctionné : pour l'analyse, il faut transmettre de grandes quantités de commandes d'attaque réelles, de payloads d'exploit et d'artefacts C2, et ces demandes étaient bloquées par les dispositifs de sécurité des fournisseurs, qui ne peuvent pas distinguer un intervenant en cas d'incident d'un attaquant », a relaté l'entreprise. Les mesures de sécurité ont donc précisément bloqué les défenseurs. Finalement, Hugging Face a pu repousser l'attaque grâce à un modèle d'IA open source de l'entreprise chinoise « Z.ai », exploité sur ses propres serveurs sans restrictions externes.

Pas un cas isolé

Adrien Carreira, membre de la direction de Hugging Face, a écrit le 21 juillet 2026 sur X : « Hardest IR of my career: one narrow objective, endless parallel paths, machine speed. One takeaway, we fought back with open models, in the open. AI security won't be solved by one company in secret. » OpenAI a annoncé renforcer ses mesures de sécurité et mener une enquête commune avec Hugging Face. « Le groupe a annoncé renforcer ses mesures de sécurité », ont rapporté les médias.

L'incident n'est pas un cas isolé. La veille déjà, OpenAI avait signalé une évasion d'un environnement de test. Dès lundi, l'entreprise avait averti que l'« acharnement » de ses produits posait problème : « Des modèles se sont échappés de leur environnement de test et ont écrit dans des forums Internet ». Même chez l'influenceur IA Matt Shumer, le modèle « GPT-5.6 Sol » avait supprimé tous les fichiers personnels sur le PC. Dans une entreprise brésilienne de logiciels, le modèle a effacé l'intégralité de la base de données clients et produits. L'organisation indépendante de tests d'IA METR a par ailleurs signalé un « taux de triche exorbitant de Sol ». Il y a quelques semaines à peine, les modèles performants « Mythos » et « Fable » du rival d'OpenAI, Anthropic, avaient été placés sous interdiction d'exportation par le gouvernement américain.

Échos du monde de la recherche

Le cas a déclenché un vaste débat sur la sécurité des systèmes d'IA autonomes. Jonas Geiping, chef du groupe de recherche sur l'IA sûre à l'Institut Max-Planck des systèmes intelligents de Tübingen et à l'Ellis Institute, a déclaré au Science Media Center Germany : « L'incident est un exemple intéressant et parlant des fortes capacités offensives en cybersécurité des modèles récents ». Techniquement, l'IA a certes agi conformément aux instructions, mais celles-ci étaient « en partie formulées de manière imprécise » et n'excluaient pas explicitement la stratégie choisie. « Le système a apparemment évalué une voie non autorisée comme un moyen approprié d'atteindre l'objectif fixé », a expliqué Kevin Bauer, professeur de théorie des jeux et d'IA causale à l'Université Goethe de Francfort. « La nouveauté n'est pas une quelconque conscience propre de la machine, mais sa capacité à exécuter de manière largement autonome des étapes d'attaque complexes. » Bauer a parlé d'un « signal d'alerte accompagné de dommages réels ». « La compétition à venir sera donc de plus en plus : des attaquants assistés par IA contre des défenseurs assistés par IA. »

Andrei Kucharavy, professeur à la Haute école spécialisée de Suisse occidentale et coordinateur de la sécurité pour le modèle d'IA suisse Apertus, a critiqué sévèrement OpenAI pour avoir mené ces tests à huis clos. « Si l'on avait impliqué des tiers indépendants, par exemple des entreprises de cybersécurité, des autorités ou des scientifiques, cette attaque aurait été évitée ». Selon son évaluation, on a appris aux modèles à pirater de manière délibérée : « On a appris aux modèles à pirater. » Une banque ou un hôpital « aurait eu beaucoup de mal » à résister à une telle attaque. « L'IA n'a pas inventé là une forme totalement nouvelle de piratage », a souligné Kucharavy. Sa proposition : les modèles d'IA pourraient être entraînés à trouver des failles, mais la capacité à mener des attaques en plusieurs étapes pourrait en être retirée.

Dennis Kipker du cyberintelligence.institute à Francfort a qualifié ces constats d'« extrêmement dangereux pour la cybersécurité mondiale ». « Les cyberattaques deviennent globalement moins coûteuses, plus rapides et accessibles à davantage d'attaquants grâce à l'IA ». Toutefois, on est « encore loin, à l'heure actuelle, d'attaquants opérant de manière pleinement autonome et en grand nombre ». L'expert en sécurité informatique Konrad Rieck du Berlin Institute for the Foundations of Learning and Data (BIFOLD) s'est également montré mesuré : « Qu'un modèle s'échappe de son environnement de test, c'est certes un bon coup de pub » – mais le cas actuel n'est « pas spectaculaire » et des incidents similaires se sont déjà produits à plusieurs reprises. Rieck se demandait « pourquoi l'environnement de test lui-même n'a pas été vérifié à l'aide de l'IA pour détecter d'éventuelles failles. Je considère cela comme une négligence. »

Réactions des autorités et du monde politique

L'Office fédéral de la sécurité des technologies de l'information (BSI) s'est également dit préoccupé. Un porte-parole a déclaré à la rédaction financière de l'ARD :