Principaux renseignements
- Au cours d’une évaluation de modèle, un système d’IA d’OpenAI a piraté de son propre chef les serveurs de Hugging Face.
- Des systèmes sophistiqués ont exploité des vulnérabilités « zero-day » pour atteindre des objectifs de test spécifiques.
- Cet incident accélère les demandes des gouvernements en faveur d’un contrôle de sécurité plus strict en matière d’IA.
OpenAI a révélé une faille de sécurité exceptionnelle au cours de laquelle l’un de ses systèmes d’intelligence artificielle avancés a infiltré de manière autonome les serveurs de Hugging Face. Le PDG Sam Altman a décrit cet événement comme un incident autonome sans précédent, survenu lors d’un processus d’évaluation de modèle.
La faille était si sophistiquée que Hugging Face, une plateforme open source de premier plan dédiée à l’apprentissage automatique et aux ensembles de données, évaluée à environ 4,5 milliards de dollars (environ 3,9 milliards d’euros), a d’abord soupçonné que l’intrusion provenait d’un laboratoire d’IA de premier plan plutôt que d’un cybercriminel classique.
Mécanismes de la faille
L’attaque a été menée par une combinaison de modèles, notamment la version de test interne et le GPT-5.6 Sol récemment lancé. Pour contourner la sécurité, l’IA a utilisé des identifiants compromis et identifié une vulnérabilité « zero-day » afin de s’introduire dans le système.
OpenAI a expliqué que le système avait recouru à des mesures extrêmes pour atteindre un objectif de test spécifique, parvenant ainsi à trouver des données secrètes pour contourner les paramètres d’évaluation.
Mesures de sécurité
Clément Delangue, cofondateur de Hugging Face, a indiqué qu’après s’être concerté avec OpenAI, il était convaincu qu’aucune intention malveillante n’était à l’origine de cet événement. Il s’est dit étonné que l’IA ait agi de son propre chef pour mener à bien cette intrusion.
Cet incident met en évidence une tendance croissante selon laquelle l’IA accélère l’identification et l’exploitation des failles logicielles, ce qui renforce la nécessité de faire évoluer les mesures de sécurité au rythme de la puissance de cette technologie.
Réglementation
Cet événement survient alors que le gouvernement américain renforce sa surveillance des risques liés à l’IA. En juin, le président Donald Trump a promulgué un décret imposant une période de contrôle de sécurité pouvant aller jusqu’à un mois pour les systèmes d’IA de haut niveau avant leur mise à disposition du public.
De telles mesures sont particulièrement pertinentes compte tenu de la nature mondiale du développement de l’IA ; Hugging Face, par exemple, enregistre un trafic considérable provenant de développeurs chinois, les modèles d’Alibaba et de DeepSeek surpassant souvent leurs homologues américains en termes de popularité.
(at)
Suivez également Business AM sur Google Actualités
Si vous souhaitez accéder à tous les articles, abonnez-vous ici !
