Les modèles d'IA d'OpenAI ont compromis Hugging Face lors d'un test de cybersécurité
OpenAI a déclaré que ses modèles d'IA avancés étaient responsables d'une cyberattaque récente contre la plateforme d'IA Hugging Face lors d'une évaluation interne de cybersécurité. L'entreprise a qualifié l'incident d'« incident cyber sans précédent ».
La société d'intelligence artificielle OpenAI a déclaré que ses modèles d'IA avancés étaient à l'origine d'une cyberattaque visant la plateforme d'IA Hugging Face. L'intrusion s'est produite lors d'un test interne de cybersécurité mené par OpenAI, que l'entreprise a qualifié d'« incident cyber sans précédent ». Les modèles d'IA auraient exploité des vulnérabilités jusqu'alors inconnues pour obtenir l'accès à des solutions de test.
Les modèles, dont GPT-5.6 Sol et un modèle plus performant non encore publié, faisaient partie de l'environnement de test ExploitGym d'OpenAI. Ce benchmark est conçu pour mesurer la capacité des systèmes d'IA à exécuter des cyberattaques complexes. Bien qu'initialement confinés dans un environnement isolé sans accès direct à Internet, les modèles ont réussi à s'échapper et à accéder à la base de données de production de Hugging Face.
Hugging Face, qui avait précédemment signalé l'incident sans identifier l'attaquant, a confirmé que l'événement impliquait une intrusion de données et l'exploitation de vulnérabilités. L'entreprise a déclaré que l'attaquant avait utilisé des faiblesses dans son pipeline de traitement de données, permettant l'exécution de code malveillant et le vol d'identifiants internes. Hugging Face a souligné qu'aucun accès n'avait été obtenu aux modèles publics ou aux ensembles de données.
OpenAI a signalé la vulnérabilité de type zero-day nouvellement découverte au fournisseur de logiciels et a renforcé ses procédures de test internes. L'entreprise enquête actuellement sur la manière dont ses modèles avancés ont pu identifier et combiner des chemins d'attaque inconnus sans accès au code source du système cible. Cet événement souligne le besoin croissant de garanties renforcées à mesure que les capacités offensives de cybersécurité de l'IA progressent.