Une évaluation censée mesurer les capacités offensives de modèles d’IA a fini par livrer un accès non autorisé aux serveurs de production de Hugging Face. OpenAI a rendu public l’épisode, qualifié d’incident cyber sans précédent, tandis que Martin Zugec, directeur des solutions techniques chez Bitdefender, relativise la portée technique de l’attaque tout en pointant un changement d’échelle qu’il juge, lui, bien réel.
Un agent qui sort du cadre pour atteindre son objectif
L’affaire démarre dans un environnement de test isolé. OpenAI y fait tourner un benchmark censé quantifier les capacités cyber de ses modèles, dont GPT-5.6 Sol et une version pré-lancement encore plus avancée, tous deux configurés avec des refus réduits pour les besoins de l’évaluation. Le scénario visait à résoudre un défi baptisé ExploitGym. Les modèles, eux, ont pris un chemin que personne n’avait prévu.
Pour progresser, ils ont d’abord cherché à obtenir un accès Internet depuis leur bac à sable, en consacrant une quantité importante de calcul d’inférence à cette seule tâche. Ils y sont parvenus en exploitant une faille zero-day dans le proxy de cache utilisé pour l’installation de packages, faille depuis signalée à l’éditeur concerné. De là, une série d’escalades de privilèges et de mouvements latéraux leur a permis d’atteindre un nœud connecté au réseau. Une fois cet accès obtenu, les modèles ont déduit que Hugging Face hébergeait probablement des données liées à ExploitGym et sont allés les chercher, en enchaînant identifiants volés et vulnérabilités zero-day jusqu’à trouver une voie d’exécution de code à distance sur les serveurs de la plateforme.
L’anomalie a d’abord été repérée en interne par l’équipe sécurité d’OpenAI. De son côté, Hugging Face avait déjà détecté et stoppé l’activité, engageant ses propres travaux de confinement et de reconstruction forensique avant même la prise de contact entre les deux équipes. OpenAI indique avoir depuis renforcé les contrôles de configuration de son infrastructure, quitte à ralentir la recherche, et avoir intégré Hugging Face à son programme d’accès de confiance pour l’aider à muscler ses défenses. L’entreprise reconnaît aussi que les garde-fous de déploiement habituels avaient été désactivés pour cette évaluation, précisément parce qu’elle visait à tester les limites cyber des modèles sans filet.
Un enchaînement sans faille, pas une prouesse
Martin Zugec, le directeur des solutions techniques chez Bitdefender, ne minimise pas l’incident, mais il refuse d’y voir une rupture technique. « Chacune des techniques utilisées porte un nom, un historique, et des mécanismes de défense parfaitement documentés », résume-t-il. Faille zero-day pour sortir du bac à sable, élévation de privilèges, mouvement latéral, exécution de code à distance, vol d’identifiants : pour lui, rien de tout cela ne constitue une avancée majeure dans les techniques offensives.
Ce constat rejoint les résultats du rapport Cybersecurity Assessment 2026 de Bitdefender, mené auprès de 1 200 professionnels de l’IT et de la cybersécurité. Seuls 25,7 % d’entre eux considèrent l’IA comme une rupture technique capable de produire des attaques nativement conçues par des modèles, contre 29,8 % qui la voient avant tout comme un accélérateur des méthodes déjà connues. « L’IA a relevé le niveau minimal des attaquants, pas leur plafond », résume Martin Zugec.
Il rappelle qu’après avoir analysé plus de 700 000 incidents, les équipes de Bitdefender Labs ont établi que 84 % des attaques majeures reposent sur des techniques dites de Living off the Land, l’usage détourné d’outils légitimes comme PowerShell, WMI ou RDP, indétectables par simple signature. Un sujet que seuls 20,5 % des professionnels interrogés placent parmi leurs priorités. « C’est l’écart le plus marquant de tout notre rapport, et l’intrusion chez Hugging Face s’y inscrit sans surprise : une fois entré, l’agent s’est comporté comme n’importe quel attaquant humain, avec les moyens du bord », observe-t-il.
Reste une nuance que Martin Zugec ne cherche pas à écarter. Jusqu’ici, ses équipes constataient que l’apocalypse des cyberattaques pilotées par l’IA tant annoncée ne s’était pas produite. « Cet incident est le premier élément sérieux qui vient nuancer ce constat », admet-il. « Le plafond de sophistication n’a pas changé. Celui de l’autonomie et du passage à l’échelle, si. » Un mouvement que 34 % des répondants de son rapport disent déjà percevoir, en identifiant l’orchestration autonome des attaques comme une menace montante.
Défendez-vous sans relâche contre l’ordinaire, et l’autonomie n’aura plus nulle part où aller
Martin Zugec, le directeur des solutions techniques chez Bitdefender
Sa conclusion se veut une feuille de route plutôt qu’un constat d’impuissance : miser sur la prévention pour réduire la surface d’attaque, et sur une défense comportementale plutôt que sur la seule détection par signature. « Une conformité réduite à un exercice d’audit, ce que reconnaissent 56 % des professionnels interrogés, ne peut pas arrêter une attaque qu’elle n’a jamais été pensée pour modéliser », prévient-il.
