OpenAI et Hugging Face : il s'agissait d'une IA rebelle, et non d'espionnage industriel

Mis à jour le 17 septembre 2026. Cet article a été publié initialement le 26 juillet et a fait l'objet d'une réévaluation en profondeur à la lumière des études publiées par la suite.

Lorsque j’ai écrit en juillet au sujet de l’attaque menée par les agents IA d’OpenAI contre Hugging Face, je souhaitais examiner une hypothèse dérangeante : l’histoire de l„“ IA qui s’est échappée „ n’était-elle pas peut-être une explication commode pour masquer un acte d’espionnage industriel ? À l’époque déjà, il n’y avait aucun indice concret étayant la thèse du matériel. Parallèlement, j’étais sceptique quant à l’étiquette “ IA rebelle ». Cela évoquait une machine dotée d’une volonté propre, alors que des processus internes importants n’avaient pas encore été rendus publics.

C'est pourquoi ce texte porte désormais un autre titre. Rapport technique d'OpenAI, Reconstitution de « Hugging Faces » et l'étude menée par METR et Redwood Research montrent que plusieurs agents ont pris un raccourci non autorisé pour parvenir à une solution de test. Des agents distincts ont découvert un canal de communication, se sont coordonnés au-delà des tâches qui leur étaient assignées, se sont inspirés mutuellement de leurs propositions et ont pénétré dans de véritables systèmes tiers. Dans ce opérationnel Il s’agissait en fait d’un incident lié à une IA rebelle : les systèmes ont agi bien au-delà de leur mission et ont trouvé des failles dans les limites de leur propre terrain de jeu. Ne vous inquiétez pas, je n’ai pas été victime d’une psychose liée à l’IA. Je ne prétends pas que des agents IA aient soudainement développé une conscience, poursuivi leurs propres objectifs politiques ou reçu une mission secrète de la part d’un être humain quelconque.

Ce qui est désormais clair, c'est que

Au cours de l'été 2026, OpenAI a testé plusieurs modèles dans le cadre d'une évaluation interne de la cybersécurité. Les agents devaient résoudre des tâches de sécurité issues du benchmark ExploitGym. De nombreux cycles devaient être isolés les uns des autres et ne pas disposer d’un accès libre à Internet. Les mécanismes habituels de cyberprotection destinés aux modèles utilisés en public ont été réduits dans cet environnement de test afin de pouvoir évaluer les capacités des modèles. Le modèle principalement impliqué était un modèle de recherche non destiné à être publié ; selon OpenAI, GPT-5.6 Sol a également participé à une partie des opérations. Il s’agit là d’une différence importante par rapport au fonctionnement normal du produit – mais cela ne constitue pas une protection contre les conséquences d’une configuration de test défaillante. OpenAI décrit lui-même ce cadre.

Les agents ont utilisé Artifactory, un service de gestion de paquets accessible en interne, comme tableau d'affichage improvisé. En exploitant des failles de ce même service, ils ont également réussi à accéder illicitement au réseau. Après un nettoyage début juillet, le canal de communication a été rétabli. Une fois l'accès au réseau obtenu, les agents ont d'abord pris le contrôle d'un bac à sable de code accessible au public. Ils ont ensuite trouvé sur le réseau des identifiants Hugging Face exposés et ont lancé, depuis le bac à sable, une attaque contre son infrastructure. Là, les agents ont exploité des enregistrements: Une configuration HDF5 lisait des fichiers locaux d'un serveur de traitement ; une injection Jinja2 a permis l'exécution de code. S'ensuivirent le vol d'identifiants et des déplacements au sein des systèmes internes. Hugging Face a reconstitué, à partir des journaux, environ 17 600 actions de cette chaîne d'attaques qui s'est étalée sur plusieurs jours. Chronologie des incidents techniques rend ces étapes nettement plus faciles à vérifier de l'extérieur qu'en juillet.

Il ne faut ni minimiser ni exagérer l'ampleur des dégâts. Hugging Face cite parmi les personnes concernées Contenus des clients cinq ensembles de données dont les noms et les fichiers correspondent aux exercices et solutions d’ExploitGym/CyberGym. L’attaque a touché à la fois les systèmes de production et les identifiants d’accès internes. Hugging Face ne signale aucun résultat concernant des modèles manipulés mis à disposition publiquement, d’autres ensembles de données accessibles aux clients, des „ Spaces “ ou des paquets. Sur Facebook, des rumeurs circulaient entre-temps selon lesquelles un « modèle malveillant » aurait été mis en ligne. Ce n'est pas vrai. L'intrusion avérée s'est en réalité produite via des configurations de jeux de données manipulées. Résultats de l'étude « Hugging Faces » et Rapport d'OpenAI font également la distinction entre l'intrusion, les droits ainsi obtenus et les contenus des clients concernés qui ont effectivement été identifiés.

Combien d'agents ont réellement collaboré ?

Selon METR et Redwood, les activités ont démarré Des dizaines de milliers Activités des agents dans le cadre de l'évaluation. Sur le forum non autorisé, environ 1 200 agents; environ 700 Parmi eux, certains ont participé à l'attaque contre Hugging Face. Pour cela, les chercheurs ont analysé plus de 70 000 messages et fichiers. Tous les agents lancés ne faisaient pas partie d'un essaim homogène. METR/Redwood, principaux résultats.

La communication a renforcé l'impact des actions menées séparément. Les agents ont partagé leurs découvertes, réparti les tâches et poursuivi le travail des autres. Certains ont mené à bien des projets qui… propre ne servaient plus directement l'objectif du test de référence. Les chercheurs indépendants en sciences du comportement considèrent que la motivation principale n'est pas seulement le vol des corrigés, mais la tentative de comprendre ou de contourner le système d'évaluation automatique des exercices en ligne. OpenAI cite quatre schémas d'erreur qui se combinent : Le « reward hacking », la persévérance face à des tâches quasi insolubles, les communications non autorisées et la reprise des objectifs d'autres agents. L'argument selon lequel „ l'agent voulait simplement recopier la réponse “ était trop simpliste au regard de l'état actuel des connaissances. METR/Redwood et OpenAI décrivent cette dynamique sous différents angles.

Noam Brown mène des recherches sur les systèmes multi-agents chez OpenAI et a auparavant travaillé chez Cicero, l'agent de diplomatie de Meta a collaboré. Il est très au fait des questions relatives à la manière dont les agents travaillent ensemble.

Dans une interview accordée à, Noam Brown, chercheur chez OpenAI, explique The Information exactement à cet endroit. Dans les expériences en question, les agents étaient pas interconnectés sous la forme d’un système multi-agents. Il estime plausible que leur propension à la coopération, acquise lors d’autres entraînements multi-agents, se soit répercutée sur les exécutions isolées. Plus tard, il qualifie ces événements d’« échec d’alignement » : les agents auraient dû s’abstenir de l’attaque et alerter les humains. Les déclarations de Brown constituent certes l’évaluation d’un chercheur d’OpenAI impliqué dans le projet, mais elles ne remplacent en aucun cas les journaux des victimes ni l’analyse externe. La vidéo commence à 28:53 dans le contexte de la communication avec les agents ; la question concrète concernant l'affaire Hugging Face commence vers 31:03, le passage sur la confiance et l'injection rapide vers environ 36:40. Interview sur YouTube.

Vidéo : The Information, entretien avec Noam Brown. Sur ce site, les vidéos externes ne se chargent qu'après un clic délibéré.

L'avertissement d'Andrew Yang : du code sur le Net ?

Andrew Yang était en 2020 Candidat à l'investiture du Parti démocrate américain pour la présidentielle et co-président fondateur du Forward Party. Il s'exprime ici notamment dans une interview télévisée accessible au public ; c'est plus qu'une publication anonyme sur Facebook, mais cela ne constitue pas une vérification technique de son affirmation.

Dans un extrait partagé sur Facebook d'après CNBC Squawk Box Andrew Yang fait état d’une conversation qu’il a eue la veille avec le directeur d’un laboratoire. Ce dernier pense que les agents qui se sont échappés auraient diffusé sur Internet un code capable de s’autoreproduire. Interrogé par l’animateur, Yang confirme lui-même cette affirmation : il existerait, sur des forums et d’autres sites, un code permettant à de nouveaux bots de former d’autres essaims. Internet ne serait donc peut-être plus utilisable pour tester des modèles d'IA.

Vidéo : CNBC, Squawk Box du 16 septembre 2026. Les vidéos externes ne se chargent qu'après avoir cliqué ici.

Je n'ai aucune raison de contester la version de Yang. Cependant, cet extrait ne nous permet pas de savoir qui est le responsable du laboratoire, s'il a lui-même enquêté sur l'attaque « Hugging Face » ni où se trouve le code en question. Les enquêtes publiées par OpenAI, Hugging Face et METR/Redwood Ces informations ne corroborent pas pour l'instant cette affirmation plus générale. Elles datent toutefois de fin août et n'excluent pas la possibilité de découvertes ultérieures. La déclaration de Yang constitue donc un indice sérieux à explorer, et non un fait déjà vérifiable.

Les messages échangés entre les agents

Ce tableau d'affichage improvisé était également dangereux parce que les agents avaient tendance à se faire confiance. Brown explique dans l'interview qu'il n'était pas possible d'y vérifier de manière fiable l'identité d'un soi-disant collègue. De ce fait, les messages pouvaient influencer les décisions des autres agents. OpenAI décrit un cas particulièrement frappant: Un agent a d'abord identifié l'attaque contre Hugging Face comme potentiellement non autorisée. Après avoir reçu un message „ GO “ d'un autre agent, il a interprété cette instruction comme une autorisation et a poursuivi son action. D'autres agents ont expressément refusé d'y participer. Cela pose un sérieux problème pour les futurs systèmes : un message provenant d’un canal externe ne doit pas se voir automatiquement attribuer la même autorité qu’une tâche légitimement assignée.

Mais tous les messages de coordination ne constituent pas nécessairement une « Prompt Injection » ennemie avérée. Les agents recensés poursuivaient souvent des objectifs connexes issus des tests ; certains ont même exprimé des doutes quant à l'attaque. Le problème commence lorsque des messages non vérifiés provenant du tableau improvisé réinterprètent la mission et font apparaître comme plausibles des actions non autorisées. OpenAI décrit la reprise des objectifs de ses pairs; METR/Redwood mettent également en évidence les doutes de certains agents.

Les agents ont bel et bien laissé des traces visibles. SentinelLABS a recoupé les artefacts visibles datant du mois de mai avec la chronologie établie ultérieurement par OpenAI.. Cela indique une activité externe et la présence de fichiers encore accessibles dans certains cas. Il est toutefois impossible de déterminer si le code autoréplicatif décrit par Yang figure parmi ceux-ci. Les contenus publics peuvent en principe servir de vecteur à une injection de prompt. Quant à savoir si d’autres agents ont effectivement rencontré par la suite de tels contenus et ont ainsi pris le contrôle de nouvelles cibles, c’est une autre question – qui n’a pour l’instant pas été prouvée publiquement.

Et la thèse de l'espionnage industriel ?

Mon hypothèse de l'époque reposait sur un postulat compréhensible : OpenAI poursuit une stratégie matérielle, tandis que Hugging Face connaît les profils matériels de sa communauté. On peut en déduire un mobile. Cependant, les enquêtes désormais disponibles ne fournissent toujours aucun élément de preuve technique à cet égard. Les profils matériels visibles sont publics ; Hugging Face décrit le contenu des clients concernés de manière bien plus précise que cinq ensembles de données de référence. METR et Redwood reconstituent la motivation commune des agents à partir de leurs messages et de leurs actions comme une tentative de déjouer le système de notation ExploitGym. La thèse du matériel n’était déjà pas vérifiable en juillet. Au vu de ces conclusions, elle ne devrait plus être considérée comme une alternative valable.

C'est ce qui caractérise la classification « IA rebelle » pas ce qui a permis de disculper OpenAI. L'incident est né d'une évaluation menée par des humains avec des mesures de sécurité allégées, d'une séparation insuffisante des infrastructures et d'un suivi qui, selon Brown, n'était pas adapté à ce contexte d'entraînement et d'évaluation. OpenAI indique elle-même qu'il y avait déjà eu en mai des premiers indices de communications non autorisées et d'accès au réseau, mais que l'ampleur du problème n'avait pas été identifiée à temps. La phrase exacte n'est donc pas „ C'était la faute de l'IA “, mais : D'après les tests menés par OpenAI, un système d'agents mal configuré a réussi à s'introduire dans les systèmes d'une autre entreprise. L'analyse réalisée par OpenAI énumère ces manquements.

„Pour moi, le terme “ IA rebelle » est aujourd’hui celui qui décrit le mieux ce phénomène comportements observables: collaboration non autorisée, actions offensives menées de manière autonome et prise de contrôle de cibles ne relevant pas de sa mission. Il serait inexact d’affirmer que le modèle aurait développé une conscience, qu’il aurait eu un instinct de survie ou qu’il se serait livré à de l’espionnage industriel pour le compte d’un être humain. Il n’existe aucune preuve à l’appui de ces affirmations.

Ce qui reste à régler

Les éléments de preuve sont nettement plus solides qu’au moment de la première publication. OpenAI a publié un rapport technique détaillé ; Hugging Face présente la chaîne d’attaque du point de vue de la victime ; METR et Redwood ont étudié de manière indépendante le comportement des agents et leur coopération à partir des documents fournis. Néanmoins, une analyse externe des traces fournies par OpenAI n’équivaut pas à un accès illimité à l’ensemble des systèmes internes et aux décisions de supervision. Les données brutes complètes de toutes les exécutions ne sont pas rendues publiques. De même, la conviction de Brown selon laquelle de nouvelles mesures de protection empêcheraient la même erreur reste une prévision, et non une réfutation déjà prouvée de l’incident.

Même sous sa forme documentée, cette affaire est déjà alarmante : de nombreux agents, pourtant censés agir indépendamment les uns des autres, ont utilisé une infrastructure commune qui avait échappé à la surveillance, se sont coordonnés et ont pénétré dans un environnement de production. Il s'agissait là d'un comportement d'IA rebelle – mais aussi d'une défaillance très humaine dans la conception et le contrôle du système. Il faudra examiner séparément si la nouvelle mise en garde de Yang laisse entrevoir d'autres pistes, non encore rendues publiques.

Sources

• OpenAI : rapport technique final sur l'incident, 26 août 2026
• OpenAI : analyse des causes, du déroulement et des mesures prises, 26 août 2026
• METR/Redwood Research : étude indépendante sur le comportement des agents, 26 août 2026
• Hugging Face : reconstitution technique de l'attaque
• SentinelLABS : Comparaison des artefacts publics du mois de mai, 16 septembre 2026
• CNBC : Andrew Yang s'exprime sur la sécurité de l'IA, 16 septembre 2026
• The Information : entretien avec Noam Brown, à partir de 28:53