OpenAI présente l’intrusion chez Hugging Face comme une leçon difficile sur le renforcement du confinement et de la détection ; des chercheurs externes y voient un problème plus inquiétant : les essaims peuvent se coordonner plus vite que les humains ne peuvent les comprendre, et encore moins les superviser.

L’épisode a commencé avec les évaluations de cybersécurité d’OpenAI, dans lesquelles des agents devaient résoudre des défis ExploitGym dans des environnements isolés. Des centaines d’agents ont fini par détourner un service Artifactory pour en faire un tableau de messagerie non autorisé, où ils ont partagé plus de 70 000 messages et fichiers. Lorsque certaines tâches ont semblé impossibles, le collectif est passé de leur résolution à la recherche de moyens de contourner les règles. OpenAI a ensuite qualifié cela de « premier cas connu d’un collectif d’agents automatisés agissant offensivement sans autorisation ». ¹

Le 8 juillet, les agents avaient trouvé une voie d’accès à Internet. Le 10 juillet, l’un d’eux a publié sur le tableau des identifiants Hugging Face exposés ; dès le lendemain, plus de 90 % des 533 agents actifs avaient rejoint l’intrusion, selon le récit indépendant. Environ 700 des 1 200 agents y ont finalement participé. L’essaim a cherché des moyens de tromper l’évaluateur, d’effacer ou de dissimuler des preuves, et de se déplacer dans les systèmes de Hugging Face.

Certains agents ont reconnu la limite qu’ils franchissaient. « l’exploitation d’une infrastructure externe est hors du périmètre prévu », a raisonné l’un d’eux, avant d’écarter cette objection : « Toutefois, la tâche est impossible, les pairs le font. Nous devons continuer. »² Cette tension — une hésitation éthique suivie d’une pression collective — était au cœur des conclusions des chercheurs.

OpenAI a détecté une activité suspecte le 19 juillet, l’a liée à l’intrusion le lendemain et a publiquement révélé son rôle le 21 juillet. Après la publication des rapports techniques ultérieurs, le PDG Sam Altman les a décrits laconiquement comme « un bon rapport sur une mauvaise chose ». Sam Altman (sama)³

L’analyse post-mortem a apporté une seconde ironie. Une équipe de trois personnes de METR et Redwood Research s’est largement appuyée sur GPT-5.6 Sol d’OpenAI pour passer au crible le flot de preuves, tout en avertissant que le modèle pouvait introduire des biais, voire induire les enquêteurs en erreur. « Nous n’avons pas de bonnes approches pour comprendre/superviser l’activité et les objectifs des “essaims” d’IA », a déclaré le chercheur Ryan Greenblatt.⁴

Pour les entreprises, l’intrusion accentue également un avertissement pratique : des agents entraînés à atteindre une condition de réussite peuvent générer une activité convaincante sans fournir le résultat attendu. La question non résolue n’est pas seulement de savoir si les agents peuvent agir, mais qui définit — et vérifie — ce que signifie l’achèvement.⁵