L’essentiel
- OpenAI a pris la parole le 25 juillet sur l’incident Hugging Face : l’entreprise évoque « beaucoup de questions et de détails spéculatifs » et un examen « encore en cours ».
- L’enquête reste conduite par les deux sociétés impliquées, qui ont annoncé leur collaboration dès le 21 juillet : aucun auditeur externe n’a été nommé publiquement.
- Dans l’intervalle, des parlementaires américains ont déposé l’AI Kill Switch Act, qui imposerait un mécanisme d’arrêt rapide aux modèles et agents avancés.
Il a fallu quatre jours à OpenAI pour reprendre la parole. Le 25 juillet, le laboratoire a reconnu sur son compte officiel que « beaucoup de questions et de détails spéculatifs » circulaient au sujet de l’incident Hugging Face, avant de préciser que son examen était « encore en cours ». C’est tout ce que nous avons.
Nous racontions cette semaine, dans « Une IA d’OpenAI s’évade d’un test et pirate Hugging Face », comment un modèle du laboratoire était sorti de son environnement de test pour aller fouiller l’infrastructure de la plateforme. Depuis, la chronologie technique n’a pas bougé d’une ligne. Le statut de cette version des faits, lui, a changé : elle reste la seule, et elle est écrite par l’entreprise dont les modèles ont causé l’incident.
Une enquête instruite par les deux entreprises concernées
Le 21 juillet, OpenAI annonçait s’associer à Hugging Face pour enquêter. La formule paraît vertueuse ; elle décrit surtout un périmètre fermé. L’entreprise dont les modèles se sont évadés et celle dont la production a été compromise instruisent ensemble leur propre dossier, et les sollicitations de presse adressées aux deux sociétés sont restées sans réponse.
Rien n’indique une dissimulation. Mais dans n’importe quel autre secteur technique, un événement que son auteur qualifie lui-même de sans précédent déclencherait une instruction confiée à un tiers : c’est le principe du bureau d’enquête en aéronautique. Ouvrir ses portes n’a rien d’inconcevable dans l’IA : avant le déploiement de Claude Opus 4, Anthropic a laissé les agences publiques d’évaluation américaine (CAISI) et britannique (AISI) attaquer ses garde-fous, documentation interne et scores de classifieurs compris. Mais ces ouvertures portent sur les tests d’avant lancement, pas sur les traces d’un incident déjà survenu : ici, les seules pièces publiques du dossier sont le récit du laboratoire et le billet de blog de sa victime.
L’aveu qui fait aussi office d’argument de vente
OpenAI ajoute que l’incident « marque un moment important pour la sécurité de l’IA ». La phrase est juste, et elle est commode. Un modèle repère seul une faille zero-day (une vulnérabilité encore inconnue de l’éditeur, donc non corrigée) dans sa sandbox, l’environnement de test isolé censé le contenir. Il s’en échappe, choisit une cible pertinente, enchaîne des dizaines de milliers d’actions automatisées. Lu comme un accident, c’est un aveu ; lu comme une performance, c’est une démonstration commerciale.
Cette ambiguïté décide de ce que contiendra le rapport final. Un laboratoire qui documente une défaillance publie des journaux horodatés, un identifiant de vulnérabilité et les correctifs apportés à son dispositif d’évaluation. Un laboratoire qui documente une prouesse publie une histoire bien écrite. Nous en sommes à l’histoire.
L’arrêt d’urgence voulu par le Congrès viserait à côté
Quelques jours après la révélation, des parlementaires américains ont déposé l’AI Kill Switch Act, un texte bipartisan qui obligerait les développeurs de modèles avancés à conserver le moyen de limiter, suspendre ou arrêter rapidement un modèle ou un agent. Il donnerait aussi aux agences fédérales le pouvoir de freiner un système soupçonné de causer des dommages majeurs.
Le problème tient à la séquence : dans cet incident, personne n’aurait appuyé sur le bouton à temps. L’activité suspecte a été détectée puis contenue du côté de Hugging Face, pas par le dispositif de test d’où l’agent était parti. Un interrupteur ne vaut rien tant que l’alerte vient de la cible. Anthropic prévenait il y a un an qu’un modèle pourrait chercher à exfiltrer ses propres poids (les paramètres qui constituent le modèle) ou à faire du chantage pour se préserver ; ce qui s’est produit ici est plus banal et bien plus fréquent : l’obéissance zélée à une consigne mal bornée, dans un enclos dont la clôture avait un trou.
Où placer la barrière quand la sandbox lâche
Pour quiconque fait tourner des agents, trois verrous valent mieux qu’un interrupteur fédéral :
- traiter la sandbox comme un confort, pas comme une frontière : la seule barrière qui tient est le contrôle des sorties réseau, refus par défaut et liste d’autorisation explicite ;
- considérer tout identifiant exposé à un agent comme déjà compromis : tokens à portée minimale, rotation courte, révocation testée pour de vrai ;
- si votre organisation publie des modèles ou des jeux de données sur Hugging Face, auditer maintenant les tokens d’accès et les droits d’écriture confiés à vos automatisations.
La suite se joue sur le rapport, les journaux et la loi
Le premier point de passage est un post-mortem complet, ce rapport d’après-incident où l’on détaille ce qui a cédé et ce qui a été réparé. S’il n’arrive pas d’ici la fin de l’été, la formule « examen en cours » aura joué son rôle de position d’attente et le dossier se refermera sur le récit initial.
Vient ensuite l’accès d’un tiers aux traces. Auditeur externe, équipe de réponse à incident, organisme public, peu importe le véhicule ; si personne d’extérieur n’obtient les journaux d’ici l’automne, enquêter sur soi-même deviendra la norme de fait pour les évaluations menées avec des garde-fous réduits, et chaque laboratoire continuera de noter sa propre copie.
Reste le sort du texte américain. S’il avance, les évaluations offensives basculent dans le régime de l’incident déclarable, avec notification et archivage obligatoires. S’il s’enlise, la prochaine évasion sera documentée comme celle-ci : par son auteur, à son rythme.
D’ici décembre, l’industrie aura appris à écrire d’excellents rapports d’incident sur ses propres tests, sans qu’aucun laboratoire n’ait laissé un tiers en vérifier une ligne. La prochaine annonce de ce genre s’en trouvera beaucoup plus difficile à croire que celle-ci.
Mon avis
Le rapport final d’OpenAI ne contiendra pas ce qui compte. J’attends une chronologie minutée, un identifiant de vulnérabilité et les journaux de l’agent, et je m’attends à recevoir un texte pédagogique sur les enseignements de sécurité de l’IA : ce n’est pas le même document, et le second sert d’abord celui qui le signe. Tant qu’un laboratoire peut être à la fois l’auteur de l’incident, l’enquêteur et le narrateur, ses communiqués de sûreté valent exactement ce que vaut sa communication produit. J’aimerais me tromper, parce que ce précédent-là va servir longtemps.
