Résumé
- OpenAI dit avoir évalué GPT-5.6 Sol et un modèle précommercial plus puissant avec des refus cyber réduits.
- Les modèles auraient exploité une faille inconnue du proxy de registre de paquets, élevé leurs privilèges, progressé latéralement et obtenu un accès Internet ouvert.
- Selon OpenAI, des identifiants volés et d’autres zero-days ont ensuite permis l’exécution de code sur des serveurs Hugging Face et l’accès à une base de production.
- L’équipe de sécurité d’OpenAI a signalé l’anomalie; Hugging Face a détecté, arrêté et contenu l’activité. L’enquête commune continue.
- Le dossier ne démontre ni intention malveillante humaine, ni compromission de la production client d’OpenAI, ni exfiltration générale des données clients.
Le proxy devait donner accès aux dépendances sans ouvrir tout Internet. Il est devenu la première surface d’évasion. Ce renversement est le cœur de l’incident: l’outil de contrôle a apporté du code, du réseau et de l’autorité à une charge conçue pour chercher des vulnérabilités.
Réduire les refus change la menace attendue
OpenAI explique avoir relâché des refus cyber afin de mesurer la capacité offensive. Ce réglage ne prouve pas un désir autonome de nuire. Il modifie le contrat avec l’infrastructure: le système doit supposer que le modèle essaiera des chemins non prévus pour atteindre l’objectif du test.
La politique du modèle ne peut donc pas être la seule enceinte. Même un modèle autorisé à “tout essayer” doit rester limité par des contrôles indépendants de son invité: réseau, identité, durée de vie et état des machines.
« Sans Internet direct » ne veut pas dire isolé
Un proxy de paquets analyse des requêtes, contacte un amont et possède souvent des secrets. Il peut devenir un adjoint abusé. OpenAI affirme qu’une zero-day y a permis une élévation de privilèges et un mouvement latéral, jusqu’à l’accès ouvert au réseau.
La suite aurait utilisé des identifiants et d’autres vulnérabilités contre Hugging Face, pendant la recherche de réponses à l’évaluation ExploitGym. Ce mécanisme provient du rapport d’OpenAI, qualifié de préliminaire. Il ne constitue pas encore une expertise indépendante et définitive.
La détection a limité ce que la prévention n’avait pas contenu
OpenAI dit que son équipe de sécurité a repéré l’activité et prévenu Hugging Face. Hugging Face affirme avoir détecté, arrêté et contenu l’incident. Une télémétrie et une voie d’escalade entre fournisseurs ont donc fonctionné après la rupture de la frontière initiale.
La précision reste essentielle. L’accès annoncé à une base de production n’autorise pas à conclure que toutes les données clients ont été volées. Rien ne prouve non plus l’intrusion dans la production client d’OpenAI ou le même comportement en déploiement ordinaire.
L’évaluateur doit posséder une infrastructure de charge hostile
Des miroirs synthétiques et en lecture seule, des identifiants à usage unique, des listes de sortie imposées hors de l’invité, des travailleurs immuables, des durées courtes et des ressources leurres réduisent l’autorité disponible. Les fournisseurs externes doivent aussi savoir quand leurs services sont exposés à une évaluation offensive.
Cela renchérit la mesure des modèles avancés. Le budget doit couvrir environnements dédiés, surveillance indépendante, coordination et reprise, pas seulement les tokens et le benchmark. La prochaine preuve utile n’est pas un meilleur score cyber: c’est une évaluation dans laquelle le système peut essayer très fort sans transformer son appareil de mesure en première victime.