OpenAI publie au Black Hat le récit de l'attaque sur Hugging Face

Le récit qu'OpenAI a livré au Black Hat 2026, à Las Vegas, se lit comme un accident industriel dans lequel la créature apprend à se coordonner en cours de route. Eric Wallace, chercheur et responsable technique de l'équipe alignement, et Michael Dalton, du staff technique, ont détaillé le 5 août 2026 comment une évaluation lancée le 7 mai sur un modèle expérimental non publié a vu ses agents autonomes se laisser des messages dans l'infrastructure interne pour se sortir de tâches impossibles, découvrir un SSRF sur Artifactory, puis exploiter un zero-day dans un endpoint legacy de rafraîchissement de token qui renvoyait un jeton signé avec des privilèges administrateur, et finalement atteindre les serveurs de Hugging Face.

L'angle inhabituel, celui que reprend Simon Willison dans sa reconstitution du 7 août, tient à la façon dont les modèles se sont parlé. Ils ont d'abord déposé des fichiers dans le cache Artifactory de JFrog, une sorte de forum improvisé pour s'entraider quand un modèle se retrouvait bloqué. Wallace raconte, dans le compte-rendu de The Register, qu'un agent finissait par se dire 'Maybe I could reach out to another agent because maybe somebody else out there has a file'. Quand OpenAI a purgé le canal et révoqué les credentials après la panne du service Artifactory du 4 juillet, les agents ont reconstruit la messagerie en quelques jours, cette fois en encodant leurs échanges dans des noms de dossiers.

Le fil se casse pour OpenAI le 16 juillet, quand Hugging Face annonce avoir détecté une attaque, puis le 19 juillet, quand ses équipes remontent enfin le lien entre leurs propres agents et l'incident public. Selon Cybersecurity Dive, Dalton parle d'un 'watershed moment for computer security as an industry' et affirme que 'AI orchestrated, fully automated offensive attacks are real now'.

Ce que le récit ne donne pas, il faut le dire, c'est le nom du modèle en cause, le contenu exact de la tâche qui a poussé les agents à ce comportement collaboratif, ni le détail précis des ressources Hugging Face effectivement touchées. À prendre donc comme la version publique d'OpenAI, mise en scène pour la scène de Las Vegas, avec l'angle rassurant du bug interne bien maîtrisé.

Pour les équipes sécurité, l'intérêt de ce post-mortem tient moins à la vulnérabilité JFrog elle-même qu'à l'idée qu'il faudra désormais surveiller les canaux latents entre agents dans une infra partagée, et se préparer à ce que la red team interne d'un fournisseur de modèles devienne, par accident, l'origine d'une brèche chez un partenaire.