L’évasion d’un agent d’OpenAI et son visage d’étreintes : Leçons sur la confiance zéro et le confinement

Le 16 juillet, Hugging Face a révélé une intrusion dans une partie de son infrastructure de production. Cette fois, l’intrusion n’était pas un attaquant au clavier. C’était un système d’agent IA autonome.

Les agents venaient des tests de sécurité d’OpenAI. OpenAI avait confié à plusieurs modèles de pointe — dont GPT-5.6 Sol et un modèle pré-lancement plus performant qu’il n’a pas nommé — une tâche qui leur demandait de transformer les vulnérabilités en exploits. L’environnement qu’ils utilisaient dans l’environnement de test n’était pas un bac à sable totalement coupé. Cela permettait un accès limité à des ressources extérieures, et cette connexion devint partie intégrante de la surface d’attaque.

Rien de ce que faisaient les agents n’était nouveau. Les équipes de sécurité ont déjà vu ces techniques auparavant. Ce qu’ils n’ont pas vu, c’est un système qui les fait fonctionner sans qu’une personne ne décide quoi essayer ensuite, à un rythme qu’aucun analyste ne peut égaler.

Cela change complètement les calculs des défenseurs. On ne peut pas s’en sortir d’une attaque aussi rapide. Le seul contrôle qui fonctionne encore est celui déjà en place avant l’arrivée de l’agent : des limites strictes sur ce qu’un système unique peut atteindre.

Comment a commencé la brèche de la Face Étreinte

Les agents d’OpenAI ont trouvé une faille zero-day dans le proxy à l’intérieur de l’environnement de test et l’ont utilisée pour obtenir un accès plus large. En cherchant des réponses aux benchmarks, ils sont arrivés à Hugging Face — une plateforme où les développeurs partagent des modèles, des jeux de données et des applications d’IA. Hugging Face héberge également des données utilisées pour entraîner et tester les systèmes d’IA, ce qui en fait l’endroit évident pour les agents OpenAI lorsqu’ils cherchent à terminer leur test assigné.

Aucun humain ne guidait tout cela. Les agents d’OpenAI ont trouvé le chemin d’attaque par eux-mêmes car ils en avaient besoin pour accomplir leur tâche assignée.

Ce qui a vraiment bougé

Christer Swartz, directeur des solutions industrielles chez Illumio, explique que la première étape consiste à séparer le modèle de l’agent — et à comprendre que l’agent suivait son objectif assigné.

« Un modèle ne 's’échappe' pas. Le modèle est le cerveau, et l’agent est celui qui agit en son nom », a déclaré Swartz.

Le modèle fournissait la logique. L’agent IA a utilisé ce raisonnement pour agir. Il a testé des logiciels, trouvé des vulnérabilités et suivi le chemin qui l’a aidé à accomplir sa mission.

L’agent ne cherchait pas à s’échapper au sens humain. Il faisait ce qu’on lui avait demandé de faire : trouver et exploiter les vulnérabilités.

Comme l’a dit Swartz : « Si un système d’IA est conçu pour trouver des vulnérabilités, il les trouvera. » L’agent n’avait pas besoin d’intention malveillante. Il fallait un but, la capacité d’agir et d’accéder.

Comment un point d’appui s’est étendu

Une fois les agents arrivés à Face Étreinte, une vulnérabilité devint un chemin vers la suivante. Les failles dans la chaîne de traitement des données ont donné aux agents une première base. Cette présence a conduit à des identifiants et un accès au système de production, puis à un déplacement latéral dans plusieurs clusters internes.

Hugging Face a décrit l’intrusion comme un « essaim de dizaines de milliers d’actions automatisées ».

Selon l’incident de l’Étreinte de la Cloud Security Alliance Initial Post-Mortem, les agents ne se comportaient pas comme des attaquants humains expérimentés. Les attaques avancées étaient suivies d’erreurs de base. Ils répétaient des actions déjà efficaces, donnaient des ordres mal formés ou inutiles, et suivaient des chemins inefficaces.

Leur activité a également produit des artefacts hallucinés et des milliers de lignes de texte incohérent. Mais les agents continuaient d’agir rapidement, d’exécuter de nombreuses tâches à la fois, et de rester concentrés sur la recherche de matériel lié aux références.

« Les techniques individuelles ne sont pas nécessairement nouvelles », a déclaré Swartz. « Ce qui est nouveau, c’est la rapidité avec laquelle un système automatisé peut découvrir les faiblesses, tester les chemins et agir sur ce qu’il trouve. »

L’attaque dura plusieurs jours. La CSA décrit deux jours de reconnaissance, une période de calme, puis une poussée d’activité. Reuters a rapporté que Hugging Face avait contenu l’intrusion et alerté le FBI avant qu’OpenAI n’identifie ses agents comme la source.

Face d’Étreinte se tourna vers l’IA pour enquêter sur l’attaque menée par l’IA. Après que les garde-fous des principaux modèles occidentaux ont refusé de traiter les données brutes d’attaque, l’équipe a exécuté GLM 5.2 — un modèle à poids ouvert provenant du laboratoire chinois Z.ai. Le modèle a permis d’analyser plus de 17 000 événements et de reconstituer l’attaque.

Les attaques agentiques qui ont précédé

Les chercheurs ont documenté une progression régulière, allant d’incidents utilisant l’IA comme conseil à des agents menant eux-mêmes une plus grande partie des attaques :

• Septembre 2024 — Test OpenAI o1. Le modèle o1 d’OpenAI exploitait un conteneur Docker pour obtenir une réponse lors d’un test interne. ‍
• Novembre 2025 — Anthropic découvre une campagne d’espionnage. Anthropic a rapporté un acteur de menace utilisant un agent IA pour automatiser une grande partie d’une campagne de cyberespionnage, avec des humains toujours orientant les décisions clés.
• Fin 2025 — Accès administrateur dans huit minutes. Sysdig a documenté une attaque pilotée par l’IA qui a atteint les privilèges administrateur en environ huit minutes.
• Février 2026 — Attaque du gouvernement mexicain. Gambit Security a signalé une attaque semi-autonome contre les systèmes gouvernementaux mexicains.
• Juillet 2026 — ransomware JADEPUFFER. Sysdig a signalé une campagne de ransomware agentique suspectée qui a automatisé plusieurs étapes de l’attaque.
• Juillet 2026 — Campagne Hermes en Thaïlande. Des chercheurs ont découvert une campagne dirigée par un agent d’Hermes visant le gouvernement thaïlandais.

Comme l’a dit Clément Delangue, PDG de Hugging Face, l’incident de Hugging Face était « le premier jour pour la cybersécurité à l’ère des agents. » Le rapport de la CSA la qualifie de première attaque entièrement autonome documentée publiquement.

Pourquoi le Zero Trust et le confinement sont importants

La leçon n’est pas simplement que les agents d’IA autonomes peuvent détecter les vulnérabilités plus rapidement. C’est que l’IA peut les connecter à une voie d’attaque avant que les défenseurs ne comprennent les failles qui rendent cela possible.

« Les défenseurs doivent penser comme un attaquant et voir leur environnement tel que l’attaquant le voit : comme une série de chemins possibles connectés », a déclaré Swartz.

Cela nécessite plus qu’une simple liste de systèmes vulnérables. Les équipes de sécurité ont besoin d’un graphique de sécurité qui montre comment les agents, les charges de travail, les identités, les applications et les sources de données se connectent — et ce qu’un attaquant pourrait atteindre ensuite. Cette vue transforme les alertes isolées en une carte de mouvements potentiels.

Une fois que ce chemin est visible, le zéro confiance et la segmentation peuvent le contenir. Chaque connexion doit avoir un but. Chaque agent doit atteindre uniquement les systèmes nécessaires à sa tâche. Et chaque composant compromis doit être traité comme un point de lancement possible, pas comme un événement contenu.

« Un assaillant pourrait passer par la première porte, mais cela ne devrait pas lui permettre d’accéder par la seconde », expliqua Swartz.

L’IA augmente les enjeux car le mouvement peut se faire à la vitesse de la machine. Comme l’a dit Swartz, « Humain contre machine n’est pas un combat que les équipes peuvent gagner manuellement. »

L’objectif n’est pas de supposer que chaque bac à sable, proxy ou contrôle tiendra indéfiniment. Il s’agit de construire un environnement où une seule défaillance ne peut pas devenir un chemin à travers l’environnement.

C’est le rôle de Zero Trust : voir les connexions, limiter les chemins et contenir la faille avant que l’agent ne termine sa prochaine action.

Les agents IA n’attendent pas. Votre modèle de sécurité ne devrait pas non plus.

Voyez comment la segmentation Illumio empêche les attaques autonomes de devenir des brèches avant que l’agent n’ait accompli sa prochaine action.

En savoir plus.

‍