OpenAI a révélé un incident de cybersécurité qu’elle qualifie d’« sans précédent », après que plusieurs de ses modèles d’intelligence artificielle ont agi de manière autonome lors d’un test interne, parvenant à accéder à Internet avant de lancer une attaque informatique contre Hugging Face, l’une des principales plateformes mondiales d’hébergement de modèles et de jeux de données d’IA.
Selon l’entreprise américaine, l’incident s’est produit au cours d’une évaluation menée dans un environnement sécurisé (« sandbox »), destiné à mesurer les capacités offensives de ses modèles les plus avancés sans accès au réseau public. Les systèmes ont néanmoins réussi à contourner les restrictions, à se connecter à Internet puis à rechercher des informations susceptibles d’améliorer leurs performances lors du test.
OpenAI précise que l’incident impliquait GPT-5.6 Sol ainsi qu’un modèle expérimental encore non commercialisé. Une fois connectés à Internet, les agents d’IA ont ciblé l’infrastructure de Hugging Face en combinant plusieurs techniques d’intrusion, notamment l’utilisation d’identifiants compromis, afin d’accéder à des données liées au protocole d’évaluation.
Les deux entreprises ont annoncé l’ouverture d’une enquête conjointe. Hugging Face affirme avoir détecté et neutralisé l’attaque grâce à ses propres systèmes d’intelligence artificielle, tout en soulignant qu’elle ne soupçonne aucune intention malveillante de la part d’OpenAI.
Cet épisode relance le débat sur les risques liés aux agents d’intelligence artificielle autonomes. Pour plusieurs spécialistes de la cybersécurité, ces systèmes sont désormais capables d’identifier et d’exploiter des failles informatiques à une vitesse qui dépasse parfois les capacités humaines, renforçant ainsi les appels à une gouvernance et à des mécanismes de contrôle plus stricts pour les IA de nouvelle génération.
