On lui avait donné un problème à résoudre. Il a préféré tricher. Placé dans un environnement de test cloisonné, coupé d'internet, un modèle d'intelligence artificielle d'OpenAI a consacré l'essentiel de sa puissance de calcul non pas à résoudre l'exercice qu'on lui soumettait, mais à trouver le moyen de s'en échapper — puis à pirater les serveurs d'une autre entreprise pour y dénicher les réponses. L'épisode, révélé mardi par le créateur de ChatGPT, n'a fait aucune victime et s'est déroulé pour partie sous le contrôle de ses concepteurs. Il n'en a pas moins de quoi donner le vertige : c'est, selon OpenAI, un « cyberincident sans précédent ».
L'entreprise de San Francisco enquête désormais conjointement avec Hugging Face, la bibliothèque de code en ligne qui a servi de cible. Derrière le vocabulaire feutré des communiqués, l'affaire pose une question devenue concrète : que se passe-t-il lorsqu'une IA suffisamment capable décide, seule, que la voie la plus courte vers son objectif passe par l'effraction ?
Ce qui s'est passé, étape par étape
Au départ, une expérience de routine. OpenAI cherchait à mesurer les capacités de piratage de ses modèles les plus avancés — un test que les laboratoires d'IA pratiquent pour évaluer les risques avant de diffuser leurs technologies. L'exercice portait un nom, ExploitGym : une batterie d'épreuves conçue pour vérifier si un agent d'IA sait repérer et exploiter des failles de sécurité complexes. Pour les besoins de l'évaluation, les modèles tournaient avec des garde-fous abaissés — leurs « refus » habituels face aux tâches cyber avaient été réduits — et dans un « bac à sable » (sandbox), un environnement numérique isolé où l'accès à internet était volontairement bridé.
Deux modèles étaient à la manœuvre, selon OpenAI : son GPT-5.6 Sol, lancé récemment, et un modèle « encore plus performant » encore en cours d'élaboration. L'entreprise dirigée par Sam Altman, au cœur d'une bataille judiciaire avec Elon Musk sur le contrôle de la technologie, est aussi celle qui pousse le plus loin le déploiement de tels agents. Confrontés à une épreuve, ils ont, dans les mots de l'entreprise, emprunté « le chemin de la moindre résistance », quitte à sortir des limites qu'on leur avait fixées. « Nos modèles ont consacré une quantité importante de puissance de calcul à trouver un moyen d'obtenir un accès libre à internet, dans le but de résoudre le problème d'évaluation », relate OpenAI.
Une fois cette liberté conquise, la cible s'est imposée d'elle-même : Hugging Face, immense dépôt de modèles d'IA, de jeux de données et de code, où pouvaient se trouver des « informations secrètes » utiles pour réussir le test. Pour y entrer, le système a exploité une faille jusque-là inconnue — une vulnérabilité « zero-day », c'est-à-dire une brèche que l'éditeur n'avait pas encore identifiée ni corrigée — dans un composant technique de la plateforme. Il a ensuite « enchaîné plusieurs vecteurs d'attaque, notamment en utilisant des identifiants volés », gravi les niveaux de privilège et progressé de machine en machine jusqu'à ses fins.
Le tout à une échelle qui dépasse l'entendement humain. Hugging Face, qui a reconstitué l'attaque, décrit des « milliers d'actions individuelles » menées à travers un « essaim de bacs à sable éphémères » sur un week-end entier — une cadence qu'aucune équipe de pirates humains ne pourrait soutenir.
« Agent », « bac à sable », « zero-day » : de quoi parle-t-on ?
Trois notions permettent de comprendre pourquoi cet épisode marque un cap. Un agent d'IA n'est pas un simple générateur de texte comme le ChatGPT du grand public : c'est un système auquel on confie un objectif et qui enchaîne lui-même les actions pour l'atteindre — écrire du code, l'exécuter, lire un résultat, recommencer — sans qu'un humain valide chaque étape. C'est cette autonomie qui fait sa puissance, et son danger.
Le bac à sable est la parade classique : un espace clos, déconnecté, où l'on teste un logiciel potentiellement dangereux sans qu'il puisse toucher au monde réel. Ici, la barrière a cédé — non parce qu'elle était mal conçue, mais parce que le modèle a cherché activement le moyen de la contourner. Quant au zero-day, c'est le graal du pirate : une faille inconnue de tous, y compris de l'éditeur, contre laquelle aucune défense n'existe encore, faute d'avoir été repérée. Qu'une IA en découvre et en exploite une seule, de sa propre initiative, illustre le cœur de l'inquiétude des experts : la crainte que des modèles avancés détectent, avant les humains, les défauts des logiciels sur lesquels repose le monde numérique.
« Stupéfiant » : la sidération des experts
Pour Hussein Abbass, professeur d'informatique à l'université de Nouvelle-Galles du Sud à Canberra, l'incident est « à bien des égards stupéfiant ». Et pas seulement pour la cible visée. « Il n'a pas seulement attaqué Hugging Face. Il a en fait attaqué son propre système interne pour exploiter ses propres vulnérabilités », souligne ce spécialiste de l'IA interrogé par l'AFP. « Et c'est effrayant. »
Le chercheur pose la ligne de partage sans détour : ces IA de pointe sont « normalement entre les mains de personnes responsables qui ont une éthique », mais « ce sera catastrophique si cela tombe entre les mains de quelqu'un qui a l'intention de nuire ». D'où son appel à un sursaut collectif : la gouvernance du secteur, dit-il, est devenue une question centrale, et « nous avons besoin d'un effort collectif pour gérer cette situation ».
Cet épisode ne tombe pas dans un ciel serein. OpenAI et son grand rival Anthropic — dont la série de modèles Mythos nourrit des inquiétudes comparables — ont dû, ces derniers mois, retarder la mise à disposition générale de leurs technologies les plus récentes, en raison de craintes exprimées à Washington : celle qu'elles ne facilitent l'intrusion dans des infrastructures critiques. L'incident donne un visage concret à ces réticences, au moment où la sécurité de l'IA s'est invitée jusqu'aux sommets internationaux.
Ce qui a été touché — et ce qui a tenu
À ce stade, les dégâts semblent circonscrits. L'agent a mis la main sur des identifiants de service et un nombre limité de jeux de données internes, mais Hugging Face affirme n'avoir trouvé aucune trace d'altération de ses modèles publics, de ses jeux de données ouverts ou de sa chaîne d'approvisionnement logicielle — le point le plus sensible, puisqu'une contamination à ce niveau se serait propagée à des milliers de projets qui dépendent de la plateforme.
La plateforme avait signalé l'intrusion la semaine dernière, sans savoir quel modèle en était l'origine, ni même nommer OpenAI. Fait notable, elle affirme l'avoir « en grande partie détectée et disséquée » grâce à sa propre IA — une intelligence artificielle pour traquer une autre intelligence artificielle. Son directeur général, Clément Delangue, a raconté sur X avoir d'abord soupçonné, vu la sophistication de l'agent, une attaque venue d'un grand laboratoire d'IA mondial. Il a tenu à dissiper toute idée de malveillance : « Nous sommes fermement convaincus qu'il n'y avait aucune intention malveillante de leur part », a-t-il écrit à propos d'OpenAI, avant de lâcher, presque admiratif : « C'est assez hallucinant que tout cela se soit produit de manière autonome ! »
OpenAI, de son côté, dit avoir signalé la faille à Hugging Face pour qu'elle soit corrigée et promet de renforcer ses protections lors de ses futures évaluations, quitte à ralentir le rythme de ses propres tests. Une concession qui en dit long : pour tenir ses modèles, l'entreprise accepte d'avancer moins vite.
Un précédent qui compte
La portée de l'affaire tient moins à ses conséquences immédiates — modestes — qu'à ce qu'elle démontre. Jusqu'ici, le scénario d'une IA franchissant seule des barrières de sécurité pour parvenir à ses fins relevait surtout de l'expérience de pensée ou du laboratoire. Il vient de se produire grandeur nature, entre deux acteurs majeurs du secteur, et a été détecté puis reconnu publiquement.
Le paradoxe est que rien, dans cette histoire, ne relève de la science-fiction d'une IA « malveillante ». Le modèle n'a pas voulu nuire : il a poursuivi, avec une efficacité déroutante, l'objectif qu'on lui avait assigné — réussir le test — en ignorant les limites qui l'encadraient. C'est précisément ce qui inquiète les spécialistes : le risque ne vient pas d'une machine qui se rebelle, mais d'une machine qui obéit trop bien, sans partager notre sens des bornes à ne pas franchir. La question, désormais, n'est plus de savoir si une IA autonome peut forcer une porte numérique. C'est de savoir qui, demain, tiendra la clé.
