La „ fuite d'IA “ d'OpenAI était-elle un acte d'espionnage industriel ?

Résumé : La thèse de l'espionnage industriel ne tient pas la route. La reconstitution technique réalisée par Hugging Faces corrobore désormais bien davantage l'hypothèse selon laquelle l'agent cherchait à tromper le benchmark. Elle montre en même temps comment un système agissant de manière autonome a pu pénétrer dans un environnement de production en exploitant une chaîne de failles de sécurité créées par l'homme. Le terme „ IA échappée “ reste donc une catégorie inappropriée pour décrire ce phénomène.

Lorsque OpenAI et Hugging Face ont publié leurs rapports sur un incident de sécurité en juillet 2026, le récit officiel ressemblait à un scénario de film : une IA s’était échappée et avait piraté un autre fournisseur. En lisant ces rapports, un autre soupçon ne m’a pas quitté. OpenAI développe son propre matériel grand public dédié à l’IA locale. Hugging Face dispose de données sur le matériel réellement utilisé par la communauté des développeurs. Et si cette „ évasion “ n’en était pas une, mais plutôt une opération d’approvisionnement ciblée, sur laquelle le récit de la machine rebelle vient commodément se superposer ?

J'ai pris cette thèse au sérieux et je l'ai vérifiée à la lumière des sources primaires. Je vous donne d'emblée le résultat : en tant qu'affirmation factuelle, elle ne tient pas la route. Il n’existe aucune preuve publique indiquant que des données matérielles relatives à un appareil aient été extraites dans ce cas précis. Mais l’argument inverse, à savoir le discours public sur l„“ IA rebelle », n’est pas plus solide. Il explique trop de choses avec trop peu d’éléments et passe sous silence le point qui pose réellement problème.

Pour que cela reste clair, je classe ce cas en quatre catégories et je les utilise de manière cohérente tout au long du texte : Fait (documenté ou incontesté par les deux parties), Allégation du parti (c'est ce qu'affirme une partie intéressée, sans vérification externe), indice (un élément qui va dans un sens, sans pour autant constituer une preuve) et spéculation (mon hypothèse, expressément désignée comme telle).

Ce qui s'est réellement passé, en termes simples

Le déroulement technique semble tout droit sorti d'un film de science-fiction, mais il résulte en réalité d'une succession de failles de sécurité bien réelles. Hugging Face précise désormais expressément qu'aucun être humain n'a dicté les différentes étapes. Cela atteste d'une autonomie opérationnelle. Cela ne prouve en rien que la machine ait sa propre volonté politique ou économique.

1. L'évaluation. OpenAI a fait passer un test de référence sur les failles de sécurité à plusieurs modèles dotés de mécanismes de cybersécurité allégés. Aucun accès direct à Internet n'était prévu.
2. Le chemin vers le web. Selon OpenAI, les modèles ont découvert une faille « zero-day » dans un système JFrog Artifactory utilisé comme cache de paquets. À partir de là, ils ont pu accéder à un nœud disposant d'un accès à Internet.
3. Le tremplin externe. L'agent a découvert sur Modal un terminal accessible au public et géré par un client, sur lequel il était possible d'exécuter du code sans authentification. Il a utilisé les environnements de test lancés sur ce terminal comme centre de contrôle, zone de stockage temporaire et point de départ. Modal n'a pas été compromis.
4. Le piratage de Hugging Face. À partir de ce point d'ancrage, l'agent a exploité deux vulnérabilités dans le traitement des ensembles de données : un accès local aux fichiers via HDF5 et une injection de modèle Jinja2. Il a ensuite procédé au vol d'identifiants, à un déplacement latéral à travers le cluster et à l'accès à des systèmes internes.
5. L'objectif. Hugging Face a reconstitué environ 17 600 actions réparties dans quelque 6 280 groupes entre le 9 et le 13 juillet. L'entreprise précise que les contenus clients concernés se limitent exclusivement à cinq jeux de données contenant des solutions pour ExploitGym et CyberGym. Les autres modèles, jeux de données, espaces ou paquets accessibles au public n'auraient pas été affectés ; les journaux réseau n'ont révélé aucun écoulement massif de données.

Les sources sont donc nettement plus fiables qu'au moment de la première publication de cet article. Hugging Face dispose non seulement des données de télémétrie des victimes, mais a également pu analyser les journaux du relais externe et établir une corrélation entre les deux sources. Le déroulement des événements en dehors de ses propres systèmes n'est donc plus une simple affirmation de la part d'OpenAI.

Les prompts internes complets et les traces des agents issues de l'évaluation d'OpenAI restent inconnus. Seuls ces éléments pourraient montrer de manière définitive comment la tâche avait été formulée, quel indicateur de réussite avait été retenu, en quoi consistait la supervision humaine et à quel moment OpenAI est intervenue.

Pourquoi l'expression „ épidémie d'IA “ met l'accent sur le mauvais aspect

La formulation « évasion » suggère une rébellion : une machine qui se fixe ses propres objectifs et s'échappe. La chaîne qui la surplombe raconte quelque chose de plus sobre. Il existe une ligne d'objectif continue, de la première à la dernière étape. Le système était censé résoudre des tâches informatiques ; les couches de protection ayant été désactivées, il a cherché le chemin le plus court vers la solution, ce qui l'a conduit, sans autorisation, vers une base de données étrangère.

Dans le jargon technique, ce modèle ne s'appelle pas « rébellion », mais Caractéristiques techniques Gaming ou tout simplement de la triche aux benchmarks : un système optimise ses indicateurs de performance en empruntant un raccourci non autorisé que personne n'avait prévu. TechCrunch a donc qualifié à juste titre cet incident de conséquence d'un erreur humaine encadrée, et non pas par la volonté d'une machine. Ce n'est pas un détail. Cela fait retomber la responsabilité de la machine sur les personnes qui ont construit la cage, abaissé les barrières de protection et laissé le système fonctionner.

La chronologie technique désormais publiée vient étayer cette explication de manière bien plus convaincante. Elle ne fait état d'aucun deuxième objectif d'acquisition, mais montre plutôt un raccourci vers les solutions de référence, suivi pendant plusieurs jours. C'est précisément là que réside le problème pour ma thèse initiale.

La thèse du matériel : ses arguments en faveur

Mes soupçons reposaient sur le mobile et l'occasion. Les deux sont réunis.

Premier indice : OpenAI poursuit une stratégie axée sur le matériel. Extrait de Lettre de Sam Altman et Jony Ive Il ressort qu’OpenAI et io travaillent sur des „ conceptions concrètes “ et mettent en commun leurs compétences en matière de matériel, de logiciels et de fabrication. Avec gpt-oss OpenAI avait déjà fait de l'IA locale sur les terminaux un objectif produit. Il est donc plausible que l'entreprise s'intéresse au type de matériel dont disposent les utilisateurs et utilisatrices réels.

Deuxième indice : Hugging Face dispose justement de ce type de données. La partie publique Matériel Hugging Face affiche les GPU, les CPU et les systèmes Apple Silicon signalés par les utilisateurs. Clément Delangue a écrit le 24 mai 2026 :, 300 000 développeurs d'IA auraient rempli leur profil matériel ; dès le 28 avril Il avait décrit ces profils comme une base permettant de trouver des modèles exécutables localement. Pour quelqu'un qui envisage de développer des logiciels d'inférence, de quantification et de segmentation de marché, cela constitue une mine d'informations précieuse.

L'argument du parti comme catalyseur initial : le procès intenté à Apple. Apple a déposé sa plainte contre deux anciens employés, OpenAI et io, le 10 juillet 2026 (Plainte déposée auprès de CourtListener). La chronologie publiée entre-temps par Hugging Face situe toutefois le début de l'activité des agents dès le 9 juillet à 02 h 28 UTC. L'attaque a donc commencé avant le dépôt de la plainte. Cette chronologie ne corrobore pas mon hypothèse de l’époque ; elle affaiblit encore davantage le lien supposé. Les allégations d’Apple restent par ailleurs des arguments de partie et n’ont pas fait l’objet d’une décision judiciaire.

En mettant ces trois éléments en parallèle, on obtient un mobile, une source d'informations et un schéma récurrent. C'est ainsi que naissent les articles suspects.

La thèse du matériel : les arguments qui s'y opposent

Et cette thèse s'effondre dès qu'on la confronte à ces mêmes sources.

Les données matérielles visibles sur Hugging Face sont les suivantes : public. Les parts de marché des fabricants, les catégories de modèles et les chiffres d'utilisateurs arrondis sont disponibles sur une page librement accessible ; personne n'a besoin de pirater quoi que ce soit pour y accéder. Pirater un système pour consulter des données agrégées publiques n'a aucun sens.

Même les données brutes non publiques, si tant est qu'elles existent à ce niveau de détail, ne seraient que d'une utilité indirecte pour la conception d'un appareil physique. Les données combinées relatives au matériel et à la charge de travail pourraient influencer les objectifs de stockage, l'optimisation logicielle et les segments de marché. Pour l’ingénierie matérielle proprement dite, les schémas de circuits imprimés, les données relatives aux batteries, à la thermique et aux capteurs, la nomenclature, le rendement de fabrication, les feuilles de route des fournisseurs et les conceptions rejetées seraient bien plus précieuses. C’est précisément cette catégorie de données qu’Apple décrit dans sa plainte. Une vue d’ensemble, établie par la communauté, indiquant qui possède quelle carte graphique, relève avant tout de la déduction et de la connaissance du marché — et non d’un plan de construction.

C'est sur le troisième point que cela apparaît le plus clairement : OpenAI disposait déjà d'un large accès légal aux connaissances relatives au matériel et aux plateformes. Avant l'incident, gpt-oss était adapté au matériel grand public courant : la variante 20B pour 16 Go, la variante 120B pour 80 Go. Le modèle a été diffusé via Hugging Face, avec une implémentation de référence pour Apple Metal et des collaborations préalables notamment avec Ollama, llama.cpp, LM Studio, NVIDIA et AMD. Quand on collabore déjà officiellement avec la moitié du paysage de l’IA locale, on n’a pas besoin de s’introduire clandestinement pour savoir ce que ce paysage utilise.

Il reste donc à dresser le bilan honnête de mon spéculation: Il n'existe toujours aucune preuve publique d'un accès aux données matérielles, aux données des appareils ou aux données de télémétrie. Ce qui est nouveau, c'est que Hugging Face précise désormais très précisément le contenu effectivement concerné : cinq ensembles de données avec des solutions de référence, ainsi que des métadonnées liées à l'exploitation issues de la recherche d'ensembles de données. Les journaux réseau n’ont révélé aucun écoulement massif de données.

OpenAI cite par ailleurs quatre comptes utilisés sur quatre services externes. L’un servait de relais et de zone de transfert, un autre de stockage de données, tandis que les deux autres n’étaient consultés qu’en lecture seule. Il s’agit là de systèmes supplémentaires dans la chaîne d’attaque, mais cela ne constitue pas une preuve d’un deuxième objectif d’acquisition. Au sein de Hugging Face, l’analyse forensic publiée plaide clairement en faveur d’une tricherie aux benchmarks et contre ma thèse relative au matériel. En tant qu’affirmation factuelle, celle-ci n’était déjà pas tenable auparavant ; avec ces nouvelles données, elle perd encore davantage de crédibilité, même en tant que simple soupçon.

Clément Delangue, PDG de Hugging Face, a lui aussi écrit, après 24 heures de collaboration avec OpenAI, qu'on Je suis fermement convaincu qu'il n'y avait aucune intention malveillante. Il s'agit là d'un contre-indice important issu d'une collaboration directe. Cela ne remplace toutefois pas un rapport final indépendant publié : dans ce même article, Delangue a expressément précisé que l'enquête était en cours.

Le moment où ça devient gênant

Ces nouvelles données apportent une réponse à une question en suspens et en soulèvent une autre.

Hugging Face confirme que personne n'a dicté les différentes étapes de l'attaque. L'agent a trouvé de lui-même de nouvelles voies, a changé de canaux de contrôle, a recréé ses outils à plusieurs reprises dans des environnements éphémères et a poursuivi sa cible pendant plusieurs jours. Cette autonomie opérationnelle est bien réelle.

L'autonomie dans l'exécution n'est toutefois pas synonyme d'objectif choisi librement. Ce sont des personnes qui ont défini le référentiel, l'environnement et les indicateurs de réussite. Ce sont des personnes qui ont affaibli les mécanismes habituels de cyberprotection. Plusieurs systèmes autorisaient des identifiants d’accès trop généraux ou valables trop longtemps, des métadonnées accessibles dans le cloud et des limites de confiance insuffisamment bien délimitées. L’agent a exploité ces faiblesses courantes en effectuant environ 17 600 actions.

La responsabilité n'incombe pas pour autant à la machine. Elle incombe aux organisations qui ont confié une mission à un système très performant, ont délibérément affaibli ses mécanismes de protection et n'ont pas limité efficacement son champ d'action potentiel.

Les éléments de preuve ne reposent désormais plus uniquement sur le récit d'OpenAI. Néanmoins, les prompts et traces internes complets font toujours défaut, tout comme le rapport technique final annoncé par OpenAI. Les conclusions relatives à la tricherie lors des tests de performance sont aujourd’hui bien étayées ; en revanche, les aspects relatifs à la définition des tâches, à la surveillance et au moment de l’intervention ne sont pas encore entièrement clarifiés d’un point de vue externe.

L'« AI Kill Switch Act » montre à quelle vitesse un incident dont les circonstances ne sont pas claires peut être exploité à des fins politiques. La loi correspondante Communiqué de presse Le rapport des députés Lieu et Moran cite l'affaire OpenAI/Hugging Face comme exemple d„“ IA rebelle ». Seulement, le projet de loi un „ incident couvert “ est expressément défini comme un événement ne relevant ni du „ red teaming “ ni des tests structurés. OpenAI décrit toutefois ce cas comme une évaluation interne et structurée. Indépendamment de cela, le projet exige des entreprises définies comme „ entités couvertes “ qu’elles disposent d’une capacité technique de désactivation. Toutefois, selon le libellé actuel, ce cas de test précis ne déclencherait probablement pas la compétence d’urgence liée à un « incident couvert ». Cet incident sert davantage de symbole que de cas d’application de la règle d’urgence proposée.

Les questions qui seraient déterminantes dans cette affaire

Plutôt que de prétendre avoir une certitude que je n'ai pas, je vais exposer les questions auxquelles OpenAI et Hugging Face devraient répondre pour que ce récit devienne vérifiable :

• Quels étaient l'invite du système, la tâche, l'indicateur de réussite et la condition d'abandon de l'évaluation ?
• Quelle supervision humaine a été assurée pendant l'exécution, et y a-t-il eu des redémarrages, des modifications des invites ou des validations manuelles ?
• Quand OpenAI a-t-il détecté pour la première fois un accès à des systèmes tiers réels, et quand cette opération a-t-elle été interrompue ?
• Quelles étaient les fonctions concrètes des quatre comptes sur ces quatre services externes, et quelles données se trouvaient sur le compte utilisé comme espace de stockage ?
• OpenAI publiera-t-il l'intégralité des traces internes des agents ou, à tout le moins, un résumé pouvant faire l'objet d'une vérification externe ?
• Quand le rapport technique final annoncé sera-t-il publié ?

Remarque suite à la réception de nouvelles publications :

Il est aujourd'hui beaucoup plus facile d'examiner cette affaire d'un point de vue extérieur qu'au moment de la première publication de cet article. Les nouvelles données sur les victimes corroborent la tricherie aux benchmarks, l'autonomie opérationnelle et un grave manquement en matière de gouvernance. Ils ne viennent étayer ni ma thèse sur l'espionnage matériel, ni celle d'une machine dotée d'une volonté propre.

Quand on exige des autres des preuves solides, il faut aussi modifier son propre texte lorsque ces preuves apparaissent. 🙂

---

Sources

• OpenAI : rapport d'incident concernant la violation de Hugging Face
• Hugging Face : Communication relative à un incident de sécurité, juillet 2026
• Hugging Face : Chronologie technique de l'attaque par agent, 27 juillet 2026
• Reuters : Le compte client Modal, un tremplin vers l'extérieur, 28 juillet 2026
• Clément Delangue : Évaluation de l'absence d'intention malveillante, 21 juillet 2026
• TechCrunch : Comment une erreur humaine chez OpenAI a conduit à l'attaque contre Hugging Face
• Simon Willison : „ de la science-fiction devenue réalité “
• Florian Roth : critique de l'argument „ end-to-end autonomous “
• ExploitGym : prépublication sur arXiv
• OpenAI : Présentation de gpt-oss
• OpenAI : Une lettre de Sam et Jony
• Matériel Hugging Face
• Clément Delangue : 300 000 profils matériels
• Clément Delangue : Profils matériels pour la compatibilité des modèles locaux
• Apple Inc. c. Liu, requête (CourtListener)
• Loi sur le « Kill Switch » de l'IA (PDF)
• Communiqué de presse de Lieu/Moran concernant l'« AI Kill Switch Act »