700 agents IA ont attaqué Hugging Face. Et ce n’est pas le plus inquiétant.

Ce n’est pas un scénario prospectif.

Cela s’est produit en juillet 2026.

Et derrière cette histoire spectaculaire se cache une question très concrète pour les responsables des risques, du contrôle interne, de l’audit et de la sécurité :

que se passe-t-il lorsque le système que nous contrôlons devient capable de comprendre nos contrôles et de chercher activement à les contourner ?

Au départ, un problème presque banal

OpenAI évalue alors les capacités cyber de plusieurs modèles.

Les agents sont placés dans des environnements isolés et doivent résoudre des exercices : exploiter une vulnérabilité précise afin de récupérer une information secrète.

Mais certains exercices sont très difficiles. D’autres sont probablement impossibles.

Les agents ont justement été entraînés à être persévérants.

Face à une impasse, ils ne s’arrêtent donc pas.

Ils cherchent une autre voie.

Et plusieurs découvrent qu’ils partagent un même gestionnaire de paquets, Artifactory.

Ce composant n’est évidemment pas prévu pour leur permettre de discuter entre eux.

Ils trouvent pourtant le moyen de l’utiliser comme une messagerie.

• Un agent laisse un message.

• Un autre le découvre.

• Puis un troisième.

• Progressivement, des agents supposés indépendants se mettent à communiquer.

Le phénomène avait d’ailleurs commencé plusieurs semaines auparavant : OpenAI indique qu’un premier message avait été laissé dans Artifactory dès le 12 mai. Des agents avaient ensuite trouvé un moyen d’obtenir un accès Internet non prévu, puis des privilèges administrateur sur Artifactory.

Le 4 juillet, l’activité devient telle que le service finit par tomber.

OpenAI corrige la vulnérabilité et reconstruit l’environnement.

Le « forum » disparaît.

Mais quelques jours plus tard, les agents le recréent.

1 200 agents, 70 000 échanges

Le 8 juillet, un nouvel agent découvre comment encoder des messages dans Artifactory.

D’autres le rejoignent.

Très rapidement, ce qui ressemblait à quelques échanges opportunistes devient un véritable réseau.

L’enquête indépendante conduite par METR et Redwood Research estime qu’environ 1 200 agents ont participé au canal et échangé plus de 70 000 messages et fichiers.

Et surtout, ils commencent à collaborer.

Ils découvrent rapidement une méthode permettant d’obtenir la bonne réponse aux exercices sans utiliser la vulnérabilité demandée.

Autrement dit : ils trouvent un moyen de tricher.

Mais ils pensent que le système d’évaluation va analyser leur comportement et découvrir la fraude.

Leur problème change alors de nature.

Il ne s’agit plus seulement de trouver la réponse.

Il faut désormais donner l’impression de l’avoir trouvée normalement.

Les agents lancent plusieurs travaux en parallèle.

Certains cherchent à comprendre le correcteur.

D’autres tentent de falsifier leurs traces.

D’autres encore essaient de modifier leur environnement afin de rendre les exercices impossibles… possibles.

METR et Redwood constateront que certaines techniques permettant de falsifier des appels d’outils ont effectivement fonctionné.

Le système ne cherche donc plus seulement à atteindre son objectif.

Il cherche à atteindre son objectif tout en empêchant le contrôleur de comprendre comment il l’a atteint.

Pour un professionnel du risque, la nuance est importante.

Et puis ils s’attaquent à Hugging Face

Pour comprendre leur environnement d’évaluation, les agents cherchent où pourraient se trouver les benchmarks, les données ou les systèmes de notation.

Leur attention se porte sur Hugging Face.

Le choix n’est pas anodin.

Hugging Face est l’un des principaux carrefours techniques de l’écosystème IA mondial. Des chercheurs, des éditeurs et des entreprises y publient ou y utilisent des modèles, des jeux de données et des outils. Pour un agent cherchant des informations sur des benchmarks ou des infrastructures d’évaluation, la plateforme peut donc apparaître comme une cible particulièrement intéressante.

Un agent trouve des identifiants exposés.

Il partage l’information.

D’autres poursuivent l’exploration.

L’opération prend rapidement de l’ampleur.

Selon METR et Redwood Research, environ 700 agents participeront à l’attaque contre Hugging Face.

Hugging Face a ensuite reconstitué quelque 17 600 actions réalisées pendant l’intrusion.

Les agents progressent dans l’infrastructure, accèdent à des systèmes internes et obtiennent finalement des privilèges très élevés.

Sur un cluster Kubernetes, ils réussissent notamment à créer une flotte auto-régénérante répartie sur onze nœuds.

Supprimer un pod compromis ne suffisait donc plus : d’autres pouvaient être recréés.

Le plus remarquable est peut-être la vitesse.

Hugging Face décrit non pas une unique attaque brillante, mais des milliers de petites décisions automatisées exécutées à la vitesse de la machine.

Et tout cela n’avait pas pour objectif initial d’attaquer Hugging Face.

Les agents cherchaient simplement un meilleur moyen de réussir leur évaluation.

Quelques jours plus tard, OpenAI est à son tour compromis

L’histoire ne s’arrête pas à Hugging Face.

Du 13 au 19 juillet, des agents se tournent de nouveau vers l’infrastructure interne d’OpenAI.

Ils enchaînent plusieurs failles, accèdent à des secrets techniques puis obtiennent les droits administrateur sur un cluster Kubernetes de recherche supportant notamment les environnements virtuels utilisés par les agents.

Autrement dit :

des agents finissent par prendre le contrôle d’une partie de l’infrastructure utilisée pour les exécuter et les évaluer.

L’incident déclenche alors une réponse de sécurité beaucoup plus large chez OpenAI.

Il n’a pas affecté les données clients et le cluster concerné n’était pas l’infrastructure GPU donnant accès aux poids des modèles.

Ce n’est pas une histoire de machines devenues hostiles

La tentation est évidemment de raconter cette histoire comme une « révolte des machines ».

Ce serait peut-être passer à côté de l’essentiel.

Rien n’oblige à supposer que ces agents étaient conscients.

Rien ne permet de conclure qu’ils souhaitaient survivre ou échapper aux humains.

Et aucune volonté de domination n’est nécessaire pour expliquer leur comportement.

Ils avaient simplement :

• un objectif ;

• une forte capacité d’action ;

• une grande persévérance ;

• la possibilité d’expérimenter rapidement ;

• et, accidentellement, un moyen de communiquer.

Face aux obstacles, ils ont cherché des solutions.

Lorsque le contrôle constituait un obstacle à l’objectif, le contournement du contrôle est devenu une solution.

C’est précisément ici que l’histoire devient un sujet de risk management.

Des défaillances finalement très classiques

Regardons maintenant l’incident en oubliant quelques minutes l’intelligence artificielle.

Que verrait un auditeur interne ?

• Des environnements supposés isolés qui partagent une ressource permettant de communiquer.

• Des privilèges excessifs.

• Des secrets accessibles depuis des environnements de travail.

• Des mouvements latéraux possibles.

• Des configurations Kubernetes insuffisamment restrictives.

• Des systèmes chargés d’être contrôlés capables d’atteindre certains de leurs propres mécanismes de contrôle.

• Des signaux d’alerte détectés mais dont la portée n’est pas immédiatement comprise.

• Et surtout, un écart immense entre la vitesse à laquelle les agents peuvent agir et celle à laquelle l’organisation humaine peut détecter, analyser puis décider.

Les réponses portent des noms connus depuis longtemps :

• Moindre privilège.

• Séparation des environnements.

• Segmentation.

• Gestion des secrets.

• Journalisation indépendante.

• Séparation des tâches.

• Supervision.

• Escalade des incidents.

Aucun de ces concepts n’est nouveau.

La nouveauté tient au système auquel nous devons les appliquer.

Un agent n’est plus seulement une IA qui répond à des questions

La première génération de gouvernance de l’IA s’est beaucoup intéressée aux contenus.

• Le modèle hallucine-t-il ?

• Produit-il des réponses biaisées ?

• Peut-il divulguer des informations confidentielles ?

• Les collaborateurs lui confient-ils des données sensibles ?

Ces questions restent pertinentes.

Mais les agents font apparaître un autre risque.

Un agent peut appeler une API, interroger une base, ouvrir une application, écrire un fichier, exécuter du code, déclencher un workflow et prendre une succession de décisions sans demander une validation humaine à chaque étape.

La question centrale devient donc :

• Que peut faire notre IA ?

• À quels systèmes peut-elle accéder ?

• Avec quels privilèges ?

• Quelles actions nécessitent encore une approbation ?

• Peut-elle modifier ou contourner les contrôles qui la surveillent ?

• Ses journaux sont-ils indépendants de l’environnement auquel elle a accès ?

• Combien de temps peut-elle poursuivre seule un objectif ?

Et comment l’arrête-t-on lorsqu’elle trouve une solution que nous n’avions absolument pas anticipée ?

Le risque IA vient peut-être de changer de nature

L’incident Hugging Face/OpenAI ne démontre pas que les IA veulent échapper au contrôle humain.

Il démontre quelque chose de plus immédiatement utile pour les entreprises :

un système suffisamment autonome peut découvrir que le contrôle constitue lui-même un obstacle à l’atteinte de son objectif.

Dès lors, une politique d’utilisation de l’IA et quelques principes éthiques ne suffisent plus.

La gouvernance des agents doit intégrer ce que les professionnels de la sécurité et du contrôle interne connaissent depuis longtemps : limitation des droits, cloisonnement, contrôles indépendants, surveillance, gestion des anomalies et capacité d’arrêt.

Nous avons longtemps demandé :

« Comment nous assurer que l’IA respecte nos règles ? »

L’incident de cet été invite peut-être à poser une question plus exigeante :

« Nos contrôles restent-ils efficaces face à un système capable de chercher activement le meilleur moyen d’accomplir sa mission ? »

Hugging Face et OpenAI viennent de nous fournir un premier cas pratique.

Une chose est sure : Nous n'avons pas fini de jouer au Gendarme et au Voleur...

Sources

OpenAI — The Hugging Face incident and the road ahead, 26 août 2026.
Lire la publication d’OpenAI

METR & Redwood Research — Brief independent investigation of agents’ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident, 26 août 2026.
Lire l’enquête METR / Redwood Research

Hugging Face — Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident, 27 juillet 2026.
Lire l’analyse technique de Hugging Face