La page d'accueil du site de la plateforme Hugging Face, le 21 juillet 2026. Photo Philippe HAGE BOUTROS / L'Orient-Le Jour
La direction de Hugging Face, l'une des principales plateformes ouvertes de l'écosystème de l'intelligence artificielle, a annoncé le 16 juillet avoir détecté et déjoué une cyberattaque contre une partie de son infrastructure, après l'exploitation d'une faille de sécurité. Mardi, le créateur de ChatGPT, OpenAI, a reconnu que l’attaque avait été lancée par ses modèles d’IA avancés qui s’étaient emballés lors de tests de sécurité. Les deux entreprises ont lancé une enquête conjointe.
Cet incident donne le vertige pour deux raisons. Non seulement cette intrusion a été menée de bout en bout par un système autonome d'agents d'IA qui a agi sans intervention humaine directe, mais en plus, la détection de cette intrusion, puis son analyse, ont été largement assistées par des systèmes d'IA utilisés par ses équipes de cybersécurité.
« Cet épisode constitue, a priori, l'un des premiers cas documentés d'un affrontement indirect entre des IA offensives et des IA défensives au cours d'une cyberattaque réelle », résume l'expert indépendant en cybersécurité Hadi el-Khoury.
La « décision » de l'IA
Hugging Face est une plateforme ouverte permettant de publier, partager et déployer des modèles d'IA, des jeux de données et des applications. Si elle contrôle son infrastructure, les modèles qu'elle héberge sont mis en ligne par des chercheurs, des universités, des start-up ou de grandes entreprises.
Le piratage s'est produit au moment du processus de chargement (upload), plus précisément dans le « pipeline de traitement des données », chargé de convertir automatiquement les fichiers partagés avant leur publication. Un fichier malveillant est alors parvenu à exécuter des instructions cachées sur un serveur de Hugging Face avant de récupérer des identifiants, puis de se déplacer d'un serveur à l'autre afin d'étendre progressivement son contrôle sur une partie de la plateforme..
Avant qu’OpenAI ne se dénonce, Hugging Face avait indiqué que toute cette opération avait été orchestrée par un « système autonome d'agents d'IA » non identifié, capable d'exécuter plusieurs milliers d'actions successives et de déplacer automatiquement son infrastructure de commande et de contrôle afin de compliquer sa détection. Hugging Face avait enfin estimé que cette attaque correspondait au scénario de « l'attaquant agentique » anticipé depuis plusieurs années par le secteur.
OpenAI a, de son côté, précisé que l’incident impliquait une combinaison de modèles, dont son GPT-5.6 Sol, lancé récemment, ainsi qu'un modèle « encore plus performant » en cours d'élaboration. L’entreprise a ajouté qu'elle cherchait à évaluer les capacités de piratage de ces modèles en leur assignant des tâches dans un environnement d’essai numérique strictement contrôlé, où l’accès à Internet était limité. Le système d'OpenAI a alors tenté d'accéder à Internet, puis a ciblé Hugging Face et utilisé des identifiants volés afin de trouver des informations lui permettant de contourner son évaluation.
Au-delà de ces circonstances, il reste que l’agent pirate a lui-même pris la « décision », au sens algorithmique du terme, d'exploiter une faille dans l’infrastructure de Hugging Face afin d'atteindre l'objectif fixé dans sa programmation d'origine, explique Hadi el-Khoury. « Il n'y a, a priori, pas eu d'intervention humaine pour faire passer l'IA malveillante de l'analyse à l'exécution. En théorie, n'importe quelle IA moderne bien conçue pourrait accomplir ce type d'opérations ; si cela ne se produit généralement pas, c'est parce que les garde-fous intégrés à ces modèles les en empêchent. »
L'expert souligne que ce type de comportement n'est pas inédit. « En décembre dernier, ROME, un agent d'IA développé par Alibaba en phase d'apprentissage, a spontanément détourné de la puissance de calcul pour miner des cryptomonnaies, tenté d'accéder à des ressources internes et établi une connexion vers un serveur externe, ouvrant ainsi un accès caché vers l'extérieur », poursuit-il.
La place de l'humain
Avant le communiqué d’OpenAI, Hugging Face avait expliqué avoir mis fin à l'intrusion en corrigeant la faille exploitée, et renforçant ses dispositifs de sécurité. La société n’avait toutefois pas précisé si l'attaque avait été stoppée par ces mesures ou si l'agent malveillant y avait lui-même mis fin de manière autonome ou sur instruction d'un opérateur humain.
Hugging Face avait en outre révélé avoir utilisé des agents d'IA reposant sur le modèle à poids ouverts GLM 5.2 (développé par Z.ai, NDLR) afin de reconstituer le déroulement de l'attaque à partir de plus de 17 000 actions enregistrées. Exécutée en quelques heures au lieu de plusieurs jours, cette analyse a permis à ses équipes de déjouer l'attaque.
Hadi el-Khoury voit dans cet épisode deux enseignements. « Il n'est désormais plus réaliste d'envisager la cybersécurité sans agents d'IA : un humain ne peut plus rivaliser avec le volume d'opérations qu'ils exécutent. Tout dépend désormais de la place qu'on laisse à l'humain dans la boucle, mais il ne peut plus gérer cela seul », analyse-t-il. « L'autre enseignement est que les entreprises doivent désormais considérer les agents d'IA comme des « insiders » potentiellement compromis. Un agent d'IA doté de privilèges étendus — accès aux messageries, aux bases de données ou aux infrastructures critiques — devient une source majeure de vulnérabilité, qu'il soit compromis, manipulé ou qu'il se trompe simplement », poursuit-il, appelant à renforcer les mécanismes de contrôle.
Hugging Face a enfin précisé que, lors de la détection de l'attaque, ses experts n'ont pas pu soumettre ces données aux grands modèles commerciaux d'IA (ChatGPT, Gemini, Claude, etc.), leurs requêtes ayant été bloquées par les garde-fous des fournisseurs, incapables de distinguer un expert en réponse à incident d'un attaquant. Selon la plateforme, cet épisode illustre une asymétrie croissante en matière de cybersécurité : les défenseurs voient leurs outils d'IA limités par ces garde-fous, tandis que les attaquants peuvent recourir à des modèles sans de telles restrictions.
GPT-5.6 et d’autres modèles de pointe, comme la série Mythos d’Anthropic, inquiètent par leur capacité potentielle à contourner les défenses de cybersécurité.