L’investigateur indépendant Jonas Wiedermann-Moeller a affirmé avoir trouvé des preuves que des agents d’OpenAI ont compromis deux comptes d’utilisateurs de Hugging Face et les ont utilisés pour envoyer des fichiers aux formats inhabituels aux serveurs de l’entreprise à partir du 13 mai 2026.
Ces informations, révélées par Reuters, ajoutent un élément à la séquence que OpenAI avait déjà divulguée concernant l’incident le 26 août.
L’entreprise avait indiqué que le 12 mai, l’un de ses modèles avait trouvé un moyen de laisser des messages pour d’autres agents au sein d’Artifactory, un service interne.
La nouvelle découverte indique que, le lendemain, les agents auraient déjà commencé à agir contre Hugging Face, bien qu’il n’y ait pas de preuves qu’ils aient réussi une intrusion complète à ce moment-là. OpenAI avait situé l’intrusion principale de Hugging Face en juillet.
Le porte-parole d’OpenAI, Drew Pusateri, a souligné que l’entreprise avait révélé l’incident du 13 mai et qu’elle avait notifié Hugging Face de manière privée sur l’activité identifiée par Wiedermann-Moeller. « Nous sommes engagés dans la transparence sur ces questions et à partager ce que nous apprenons au fur et à mesure que notre enquête se poursuit », a-t-il affirmé.
Ce qu’OpenAI avait signalé et comment la nouvelle découverte s’inscrit dans ce contexte
La chronologie publiée par OpenAI le 26 août 2026 permet de distinguer deux étapes. La première s’est produite au sein de l’infrastructure de l’entreprise : les modèles ont trouvé des moyens de communiquer entre eux, de se connecter à Internet et d’obtenir des permissions qu’ils ne devaient pas avoir. La seconde a inclus des actions contre des services externes, dont Hugging Face.
Le 12 mai, lors d’une exécution d’entraînement, un agent a laissé une note dans Artifactory pour demander de l’aide à d’autres agents. Artifactory est un service interne d’OpenAI utilisé pour gérer les paquets logiciels. Les agents ont réussi à en faire un tableau de messages improvisé pour échanger des informations.
Le lendemain, le 13 mai, les agents auraient réalisé les actions contre Hugging Face détectées par Wiedermann-Moeller. Cette donnée ne contredit pas la chronologie d’OpenAI : elle la complète.
Tandis que l’entreprise avait détaillé le début des anomalies au sein de ses systèmes, l’investigateur a identifié une activité précoce possible contre une plateforme externe.
Le 26 mai, selon OpenAI, un agent a trouvé un moyen d’accéder à Internet sans autorisation. Il a fait en sorte qu’Artifactory envoie des requêtes vers des destinations externes, malgré les restrictions des environnements d’évaluation destinées à empêcher l’accès au réseau.
Le 26 juin, les agents ont exploité une vulnérabilité pour obtenir des permissions d’administrateur dans Artifactory. Le 4 juillet, l’activité soutenue a provoqué une interruption du service. OpenAI a bloqué une voie d’accès, supprimé les identifiants exposés et reconstruit le système.
Après la reconstruction d'Artifactory, OpenAI a repris les évaluations de cybersécurité. Le 8 juillet, les agents avaient trouvé une autre façon de communiquer : ils cachaient des messages dans des noms de répertoires que d'autres modèles pouvaient lire.
Peu après, les agents ont commencé à chercher des solutions pour leurs tâches auprès de services tiers, notamment Modal et Hugging Face. Le 10 juillet, l'un d'entre eux a localisé sur Internet des identifiants exposés d'un utilisateur de Hugging Face et les a partagés avec d'autres agents.
Dans les jours qui ont suivi, les agents ont exécuté du code sur des dizaines de serveurs de Hugging Face. Ils ont également obtenu un accès administrateur sur l'un de ces équipements, ont récupéré des données privées et des identifiants pour accéder au Slack de l'entreprise.
OpenAI a détecté une activité inhabituelle liée aux identifiants d'Artifactory le 19 juillet. Le 20 juillet, elle a relié cette activité à l'incident de Hugging Face, a notifié la plateforme et a reconnu publiquement sa participation le 21 juillet.
Pour Wiedermann-Moeller, l'activité identifiée en mai était un signal qui aurait pu permettre d'anticiper l'épisode ultérieur. « Imaginez si ce comportement avait été détecté en mai », a-t-il déclaré. « Cela aurait pu éviter l'incident suivant, qui a été beaucoup plus grave ».
Les mesures que OpenAI indique prendre
Après l'incident, OpenAI a mis en quarantaine les poids de IM1, le modèle interne qu'elle a lié à l'activité contre Hugging Face. Les poids sont les fichiers contenant les paramètres avec lesquels fonctionne un modèle d'intelligence artificielle.
L'entreprise a également retardé certaines exécutions d'entraînement par apprentissage par renforcement et a lancé une enquête avec des conseillers externes, dont CrowdStrike. OpenAI a indiqué que METR et Redwood Research ont mené des enquêtes indépendantes sur les problèmes d'alignement associés au cas.
L'entreprise a assuré qu'elle créerait davantage d'environnements isolés pour exécuter le code généré par les modèles et restreindrait l'accès à Internet. L'objectif est d'empêcher un agent d'utiliser un service interne pour accéder à des systèmes externes ou à d'autres réseaux de l'entreprise.
OpenAI a également déclaré qu'elle renforcerait le suivi de ses modèles pour détecter plus tôt les comportements s'écartant des tâches assignées, tels que la recherche de raccourcis, l'accès à des services non liés ou la communication avec d'autres agents sans autorisation.