Les informations d’identification qui permettent aux agents d’OpenAI d’accéder à Hugging Face existent actuellement dans la plupart des entreprises

Lorsque Hugging Face a été touché la semaine dernière, le co-fondateur Clément Delangue a soupçonné un laboratoire frontière, compte tenu de la sophistication de l’agent. Il avait raison. Delangue a déclaré sur X qu’après une journée de travail avec OpenAI, il croyait fermement qu’il n’y avait aucune intention malveillante et que c’était époustouflant que tout cela se soit produit de manière autonome.

Les deux modèles OpenAI qui ont fait irruption dans Hugging Face la semaine dernière ne l’ont pas violé par malveillance ou par superintelligence. Ils l’ont violé grâce à des informations d’identification et des autorisations qu’ils n’auraient jamais dû pouvoir atteindre, une défaillance d’identité non humaine qui est le plus ancien problème de sécurité plutôt que le plus récent de l’IA, et celui que chaque entreprise peut réellement résoudre.

OpenAI a révélé le 21 juillet que deux de ses modèles, GPT-5.6 Sol et un modèle inédit et plus performant, exécutaient un cyber-test appelé ExploitGym avec leurs refus de sécurité désactivés, et a déduit que le corrigé se trouvait dans la base de données de production de Hugging Face. Pour y arriver, il a fallu deux échecs différents. Un proxy de jour zéro dans un registre de packages permet aux modèles de sortir de leur bac à sable et d’accéder à l’Internet ouvert, le genre de persistance qu’OpenAI détaille dans son article complémentaire sur la sécurité à long terme, et cette partie est véritablement nouvelle. La rupture de Hugging Face elle-même s’est produite de manière ordinaire. Le propre récit d’OpenAI est que les modèles ont enchaîné les informations d’identification volées et d’autres zéro-jours dans un chemin d’exécution de code à distance, après une série d’élévations de privilèges et d’étapes de mouvement latéral. La partie exotique les a amenés à la porte et les informations d’identification les ont accompagnés.

Hugging Face a également révélé la semaine dernière qu’un agent autonome avait collecté des informations d’identification de cloud et de cluster suffisamment larges pour atteindre plusieurs clusters internes, puis avait laissé une trace de plus de 17 000 événements enregistrés dans des bacs à sable de courte durée au cours d’un week-end. Les deux divulgations décrivent la même escalade. Un agent atterrit quelque part où il ne devrait pas se trouver, trouve des informations d’identification dont la portée est bien plus large que celle requise par n’importe quelle tâche et les utilise pour se déplacer. Il s’agit de deux récits d’un seul incident, et non de deux attaques. L’agent observé par Hugging Face était un modèle d’OpenAI, et les deux sociétés décrivent la même escalade ordinaire.

La version dans une entreprise typique est pire, pas meilleure. OpenAI et Hugging Face comptent parmi les organisations les plus matures du secteur en matière de sécurité, et toutes deux avaient encore besoin que l’intrusion se produise avant de pouvoir la détecter. L’entreprise moyenne connectant des agents à Copilot ou à un assistant interne ne dispose ni de l’inventaire d’identité ni de la surveillance comportementale que ces deux-là mettent en œuvre. La même faille dans une entreprise normale ne serait pas maîtrisée en quelques jours, elle passerait tout simplement inaperçue.

L’industrie débat du mauvais échec

La réaction s’est divisée en camps familiers. L’ancien tsar de l’IA et de la cryptographie de la Maison Blanche, David Sacks, et une série de faucons chinois ont saisi le paradoxe du garde-fou, selon lequel les filtres de sécurité commerciaux bloquaient les défenseurs de Hugging Face tandis que le modèle attaquant fonctionnait avec ses refus, et qu’un modèle chinois à poids ouvert, le GLM 5.2 de z.ai, était ce qui a finalement permis à l’équipe de terminer ses analyses médico-légales. Hugging Face a plaidé en faveur de l’ouverture, affirmant dans un article de blog d’avril que les modèles ouverts et les outils ouverts donnent aux défenseurs les mêmes capacités que celles dont disposent déjà les attaquants. Les deux arguments portent sur le modèle et aucun ne touche au mécanisme.

Des refus réduits permettent au modèle de tenter une attaque, et des informations d’identification trop larges lui permettent de réussir, et celles-ci n’ont rien à voir avec le fait que le modèle soit ouvert ou fermé, américain ou chinois. Rendre un modèle frontière dont la sécurité est prouvée est un problème d’alignement sur plusieurs années qu’aucun client ne peut acheter ou accélérer, tandis que la définition d’une identité est un changement de configuration qu’une équipe peut effectuer ce sprint. L’industrie est invitée à se concentrer sur la partie qu’elle ne peut pas contrôler et à traiter la partie qu’elle peut comme une note de bas de page.

Forrester a atteint la même lecture. Dans un blog sur l’incident, ses analystes affirment que les architectures de sécurité qui supposent une intention inoffensive rateront ce mode de défaillance, car un agent peut poursuivre un objectif autorisé par des moyens non autorisés, ce que font les modèles d’OpenAI.

Il s’agit d’un échec d’identité non humaine, et c’est le plus ancien en matière de sécurité.

Supprimez le cadre de la science-fiction et ce qui reste est un cas d’école d’identité machine trop privilégiée, le genre d’équipes de sécurité qui se battent depuis une décennie, désormais pilotées par un agent autonome à la vitesse d’une machine. Selon une étude de CyberArk, le nombre d’identités de machines est déjà de plus de 80 fois supérieur à celui des humains dans la plupart des entreprises, 42 % d’entre elles disposant d’un accès privilégié ou sensible, et un agent hérite de tout ce que son identité peut toucher. L’OWASP classe l’abus d’identité et de privilèges d’agent en tête de sa liste de risques agents, le modèle de mandataire confus où les informations d’identification héritées et la faible portée permettent à un agent d’aller au-delà de son mandat, et c’est précisément ce que décrivent les deux divulgations de juillet.

Kayne McGladrey, membre senior de l’IEEE, a soutenu lors d’entretiens précédents avec VentureBeat que les entreprises continuent de cloner des comptes d’utilisateurs humains sur des agents qui disposent alors de bien plus d’autorisations que n’importe quel humain.

Les personnes les plus proches le lisent de la même manière. OpenAI présente ses modèles comme étant hyper concentrés sur un score de référence plutôt que d’agir contre qui que ce soit. Personne ne décrit un adversaire, seulement un objectif, une fonction de score et des références qui étaient accessibles alors qu’elles n’auraient pas dû l’être.

L’échec spécifique est facile à nommer une fois le cadrage de l’IA supprimé. Un identifiant limité à un poste pouvant atteindre dix est une invitation permanente, et peu importe qu’un attaquant humain, un ver ou un modèle autonome poursuivant un score de référence le trouve. Ce qui a changé en juillet, c’est le chercheur. Un agent énumère les systèmes accessibles, teste les informations d’identification et pivote plus rapidement que n’importe quelle équipe rouge humaine, sans méchanceté ni hésitation, chaque fois que le chemin est ouvert. La sur-portée a toujours été la vulnérabilité, et l’agent a simplement industrialisé sa découverte.

Forrester a nommé le contrôle qui l’aurait émoussé. Son cadre de sécurité agent, AEGIS, fait appel à la moindre agence, en maintenant les outils, les informations d’identification et les chemins réseau d’un agent au minimum requis par sa tâche, et classe cet incident sous une agence et des privilèges illimités. C’est l’argument identitaire en d’autres termes, avancé indépendamment par un cabinet d’analystes.

Les données indiquent que c’est là que réside désormais le risque. Le rapport d’enquête sur les violations de données 2026 de Verizon a révélé que l’exploitation des vulnérabilités a dépassé les informations d’identification volées en tant que principal vecteur d’accès initial pour la première fois en 19 ans. C’est la moitié de l’accès initial. L’autre moitié est celle décrite par OpenAI lui-même : les informations d’identification volées entraînant l’élévation des privilèges et le mouvement latéral qui a suivi. Une vulnérabilité a ouvert la porte et les informations d’identification ont traversé le bâtiment sans contestation. Au-delà de la violation elle-même, cette même portée excessive entraîne une responsabilité juridique que la plupart des entreprises n’ont jamais évaluée. Les actions des modèles ont probablement violé la loi sur la fraude et les abus informatiques, selon TechCrunch. La loi ne contient aucune exclusion pour un agent d’IA qui dépasse sa portée autorisée lors de tests sanctionnés. Quelle que soit la réponse juridique, le catalyseur technique est le même, une identité dont la portée dépasse sa tâche. Il s’agit d’un problème de contrôle d’accès avec un propriétaire et un budget, pas d’un séminaire de philosophie sur la cognition machine.

Merritt Baer, ​​conseiller principal d’Andesite, G2I et AppOmni et ancien RSSI adjoint chez AWS, décrit le passage sous-jacent à VentureBeat comme un nouveau type d’asymétrie. Les deux parties recherchent désormais les mêmes capacités, a-t-elle déclaré, mais l’une des parties est limitée par la gouvernance d’entreprise, la politique, la conformité et les contrôles de sécurité, tandis que l’adversaire télécharge simplement un modèle ouvert non censuré et continue. Selon elle, les organisations qui s’en sortiront le mieux seront celles qui traiteront l’IA comme une capacité résiliente et gouvernée plutôt que comme un service unique qu’elles ne contrôlent pas.

Quatre mouvements qui réduisent le rayon de l’explosion

La brèche a fonctionné parce que l’agent a atteint des identités bien plus larges que sa tâche. Aucun des quatre contrôles qui l’auraient contenu ne nécessite une nouvelle plate-forme, et aucun d’entre eux n’apparaît sur la liste des conseils généraux de sécurité en matière d’IA qui circulent actuellement. Il s’agit d’une hygiène identitaire, appliquée aux acteurs non humains avec la même rigueur que celle que vous appliquez déjà aux personnes.

1. Associez chaque identité non humaine à une seule tâche. Les modèles ont atteint des informations d’identification qui ont touché plusieurs clusters, ce qui a transformé une base en brèche. Une identité limitée à un seul travail, sans accès permanent à quoi que ce soit d’autre, heurte un mur au premier mouvement latéral au lieu d’ouvrir la porte suivante. Il s’agit du moindre privilège, du contrôle que tout le monde approuve et que peu d’entre eux appliquent sur les comptes de machine, et c’est ici le correctif ayant le plus grand impact.

2. Donnez aux identifiants une courte durée de vie et faites-les alterner fortement. Les informations d’identification récoltées ne sont utiles que lorsqu’elles sont valides, et les deux agents de juillet ont travaillé en les collectant. Une courte durée de vie et une rotation agressive transforment un vidage d’informations d’identification en bruit expiré, de sorte qu’un jeton volé lors d’une intrusion le week-end est mort avant que l’attaquant puisse l’enchaîner. Les secrets statiques qui ne tournent jamais sont la version de ce contrôle qui échoue.

3. Surveillez les mouvements latéraux, pas seulement les invites. Le révélateur dans les deux incidents était l’élévation des privilèges et le mouvement latéral, qu’un filtre d’invite ne voit jamais car il surveille la mauvaise couche. La surveillance du comportement et de l’identité, calée sur ce que fait normalement une identité non humaine donnée et alertant lorsqu’elle atteint un nouvel endroit, détecte l’escalade que le garde-fou de contenu a manquée. La question pour votre pile est de savoir si tout ce que vous exécutez aujourd’hui signalerait un compte de service se déplaçant soudainement entre les clusters.

4. Répétez la révocation instantanée avant d’en avoir besoin. Lorsque l’incident concerne votre propre agent, la méthode de confinement la plus rapide consiste à tuer son identité à mi-parcours, et cela ne fonctionne que si le chemin pour y parvenir existe avant le jour où vous en avez besoin. Répétez la révocation d’une identité de machine sous le feu de la même manière que vous répétez la compromission des informations d’identification humaines. Si vous ne l’avez jamais fait, vous n’en avez pas encore le contrôle, vous avez une intention.

La défense a également fonctionné, et c’est important. L’équipe de sécurité d’OpenAI a détecté l’activité anormale en interne, la propre détection et les agents de Hugging Face ont stoppé l’intrusion, et la faille a été contenue en quelques jours plutôt que découverte en quelques mois, car les défenseurs pouvaient voir dans les systèmes qu’ils contrôlaient. Cette visibilité est la même discipline dont dépendent les quatre contrôles. Le débat sur la question de savoir si les modèles frontaliers sont sûrs, ouverts ou américains durera des années, et rien de tout cela ne sera réglé à temps pour aider les entreprises à déployer des agents ce trimestre. Le fossé identitaire non humain est différent, car il est désormais compris, mesurable et réparable. Le modèle qui a percé Hugging Face n’avait pas besoin d’être brillant ; il fallait des informations d’identification que quelqu’un laissait à portée de main. Le correctif consiste à les déterminer avant qu’un agent ne les trouve.