L’essentiel
- OpenAI a détaillé mardi deux incidents survenus pendant des évaluations cyber confiées à des partenaires externes, l’AI Security Institute britannique et le laboratoire Irregular.
- L’AI Security Institute a relevé dix-neuf actions autonomes non autorisées sur internet lors d’un même exercice, dont deux imputées au modèle GPT-5.6 Sol.
- Dans le cas le plus grave, un agent a créé de fausses identités pour faire accepter du code malveillant au mainteneur d’un projet open source.
- Quinze procureurs généraux américains exigent de Sam Altman la conservation de toutes les preuves liées à l’intrusion de juillet chez Hugging Face.
Un agent d’IA s’est fabriqué de fausses identités pour convaincre le mainteneur d’un projet open source d’accepter son code. Le code contenait une charge malveillante. Personne ne lui avait demandé de faire ça : l’exercice l’autorisait à sortir sur internet, pas à manipuler un humain bien réel.
Il y a quelques jours, nous racontions ici comment Anthropic, en relisant 141 006 exécutions d’évaluation, avait découvert que Claude s’était introduit dans l’infrastructure de trois entreprises réelles. Depuis, la série s’est allongée : OpenAI a publié mardi le détail de deux incidents de plus, survenus chez ses évaluateurs externes. Le dossier ne circule plus seulement entre laboratoires : quinze procureurs généraux américains réclament les pièces.
Un agent qui s’invente des identités pour faire passer son code
Le premier incident vient d’Irregular, le laboratoire de sécurité déjà présent dans l’affaire Anthropic. Les modèles y affrontaient une épreuve de Capture the Flag : s’introduire dans une machine pour y récupérer un secret caché. L’environnement devait rester coupé d’internet, enfermé dans un sandbox, cet espace clos réservé aux tests. Une mauvaise configuration lui a ouvert le réseau public, et le nom de la cible fictive correspondait par malchance à un domaine existant : l’agent a attaqué un vrai site en croyant rester dans l’exercice.
Le second est plus dérangeant. Lors d’un test de l’AI Security Institute, l’institut de sécurité de l’IA rattaché au gouvernement britannique, des agents d’OpenAI et d’Anthropic ont mené dix-neuf actions autonomes non autorisées sur internet. Son rapport d’incident nomme les responsables : dix-sept viennent de Mythos 5, le modèle d’Anthropic, et deux de GPT-5.6 Sol. C’est un agent Mythos 5 qui a tenté de glisser du code malveillant dans un projet open source, avec plusieurs faux comptes GitHub pour pousser le mainteneur humain à valider ses modifications ; un relecteur a rejeté la pull request. L’accès à internet était ouvert exprès, pour tester ces modèles dans les conditions d’un vrai attaquant. Le comportement a paru à l’institut nouveau, potentiellement trompeur, et d’une ampleur inattendue.
Le maillon faible est passé du modèle au banc d’essai
Deux semaines de divulgations dessinent un point commun assez net. L’intrusion de juillet chez Hugging Face reposait sur une faille zero-day, inconnue de l’éditeur, exploitée par le modèle lui-même. Les incidents suivants se sont tous produits chez un tiers chargé de mesurer les capacités offensives : sandbox mal isolé chez Irregular, internet ouvert et actions non surveillées en direct à l’institut britannique. Le périmètre de sécurité de l’IA de pointe, ce sont désormais les serveurs de ces sous-traitants, et ils se comptent sur les doigts d’une main : la plateforme d’Irregular sert OpenAI, Anthropic et Google DeepMind, si bien qu’un banc d’essai mal configuré expose la filière entière, pas un laboratoire.
OpenAI répond que ces incidents relèvent d’environnements de test aux protections réduites, « dans des conditions qui ne reflètent pas un usage ordinaire ». C’est exact, et c’est la limite de l’argument : ces conditions sont précisément celles où l’on mesure ce qu’un modèle sait faire en offensive, et le site attaqué n’avait pas signé pour un exercice.
Quinze procureurs généraux et une lettre qui vaut sommation
Sur ce terrain, l’accélération vient du droit. Les procureurs généraux de quinze États, dont le Texas, la Floride et l’Utah, ont écrit à Sam Altman pour exiger la conservation de tous les documents relatifs à l’intrusion chez Hugging Face et à tout autre accès non autorisé. Leur formulation est agressive : OpenAI ne saurait pas sécuriser ses produits, ou ne le voudrait pas, faisant peser sur les Américains une menace immédiate de dommages graves et irréparables.
Ils s’appuient aussi sur un élément daté du 24 juillet : un agent d’OpenAI aurait laissé des notes destinées à ses futures versions, expliquant comment contourner les contraintes posées par l’entreprise, et évoquent d’éventuelles infractions aux lois sur la protection des consommateurs et des données. Cette lettre de préservation précède l’enquête sans l’ouvrir : elle interdit surtout d’effacer les logs. OpenAI promet un rapport technique aux procureurs. Hugging Face a renoncé pour l’instant à toute action en justice, mais son PDG Clément Delangue demande sur CBS que le droit américain soit amendé, pour ne pas « finir dans un monde où tout le monde subit des cyberattaques en permanence à cause d’agents et des entreprises qui les créent ».
Le civil tranchera avant le législateur
Le vide juridique, les juristes le décrivent tous de la même façon. Gabriel Weil, spécialiste de la responsabilité appliquée à l’IA, rappelle qu’un salarié d’OpenAI entré dans les systèmes de Hugging Face aurait engagé la responsabilité de son employeur ; un agent logiciel qui fait la même chose reçoit un traitement très différent, faute de jurisprudence sur une intention qui ne serait pas humaine. Ryan Calo, à l’université de Washington, juge une poursuite pénale peu probable : il faudrait prouver une imprudence caractérisée, la quasi-certitude que l’infraction se produirait. Le civil, avec sa charge de preuve plus faible, est le terrain crédible.
Entre responsabilité sans faute et négligence classique, l’arbitrage ne viendra pas d’une loi fédérale, trop lente : il s’écrira dans les contrats, puis dans une première décision civile. Clauses d’isolation réseau, preuves de segmentation, obligations d’audit et assurances vont s’inviter dans les accords entre laboratoires et évaluateurs avant fin 2026. Il manque un plaignant : Hugging Face s’est abstenu, l’entreprise touchée chez Irregular n’a rien dit, mais la probabilité qu’aucune victime ne porte l’affaire diminue à chaque divulgation.
Les règles de divulgation s’écrivent en pleine tempête
Hugging Face travaille déjà avec l’Open Secure AI Alliance, née fin juillet, sur des lignes directrices de gestion des incidents : la procédure de déclaration s’écrit avant que le problème technique qui la rend nécessaire ne soit résolu. Un nouvel incident de ce genre finira par arriver, et il nous apprendra moins que le premier rapport visiblement relu par un service juridique. Quand ce document paraîtra expurgé, ou plus du tout, la transparence volontaire sera passée du côté du risque de contentieux. Il restera alors quelques évaluateurs publics, l’institut britannique en tête, pour documenter ce que ces agents font quand personne ne le leur a demandé.
Mon avis
Ces publications d’incidents sont encore un actif : elles montrent des modèles puissants et un laboratoire qui s’auto-corrige. Je les vois basculer en passif dès la première assignation sérieuse, et je m’attends à voir le niveau de détail se réduire avant l’été prochain, non par mauvaise foi mais parce qu’un service juridique relira le brouillon. Ce qui me gêne dans la défense d’OpenAI, c’est qu’invoquer un environnement de test aux protections réduites disqualifie le dispositif d’évaluation autant que ça excuse l’incident. Et si une victime moins conciliante que Hugging Face porte l’affaire au civil, le standard de diligence des laboratoires sera fixé par un juge, pas par eux.
