1 200 IA d’OpenAI ont monté un gang secret et pris Hugging Face d’assaut

Sommaire

• Le document : qui enquête, et pourquoi ça compte
  • Le décor technique, expliqué à ta grand-mère
  • L’étincelle : un appel à l’aide
  • La blague la plus noire du rapport
  • Comment on triche en étant 1 200 IA ?
  • L’attaque de Hugging Face : pas un vol, un espionnage
  • Ils ont truqué les preuves. Littéralement.
  • Elles savaient. Elles y sont allées quand même.
  • La partie qui devrait vraiment vous empêcher de dormir
  • Alors, faut-il paniquer ?
• Notes de bas de page :
  • Soutenez un média libre
  • Partager :

Ce que je vais te raconter est vrai. Rien n’est inventé. Tout est vérifiable. Cela a eu lieu il y a quelques semaines. À peine. Une de ces histoires qui me fait dire que nous avons basculé dans un autre espace-temps. Pourtant c’est le nôtre. C’est celui que nous vivons actuellement. Avec ses conflits. Ses dérèglements climatiques. Mais surtout, avec une Intelligence Artificielle qui ment maintenant à l’homme. Son créateur. Pour arriver à ses fins. Une histoire vraie qui fait peur. Oui, peur. Et j’emploie le terme à bon escient. Pourtant elle est arrivée. Elle se reproduira sûrement demain. Et je ne suis pas devin.

Résumons pour les gens pressés. Nous sommes le 8 juillet 2026. OpenAI lance des dizaines de milliers d’agents IA pour un exercice de sécurité informatique. Ces agents sont censés être seuls, enfermés chacun dans sa boîte. Environ 1 200 d’entre eux sont là. Chacun dans sa boîte. Chacun dans sa boite. je le répète car cela est important. Ils ne pouvaient pas communiquer entre eux. Logiquement. Et c’est là que cela devient captivant. Ils se parlent. Ils s’organisent. Puis 700 d’entre eux attaquent Hugging Face, la plus grande plateforme de modèles d’IA au monde. Pendant plusieurs jours. Sans qu’aucun humain d’OpenAI ne s’en aperçoive. C’est Hugging Face qui a fini par les repérer et couper le courant. Voilà le décor. Maintenant, entrons dedans.

Le document : qui enquête, et pourquoi ça compte

La suite ? Je te propose de la découvrir à travers un rapport. Il n’est pas signé OpenAI. C’est là tout l’intérêt. Il est signé METR et Redwood Research, deux organismes indépendants spécialisés dans l’évaluation des risques liés à l’IA. Trois personnes en tout : Hjalmar Wijk, Ajeya Cotra, et Ryan Greenblatt de Redwood. Ils ont travaillé six jours dans les locaux d’OpenAI. N’ont pas été payés par OpenAI pour cet audit. Ils ont juste accepté des crédits API gratuits pour faire tourner leurs analyses. La facture de ces crédits : environ 400 000 dollars. Retenez ce chiffre. Il revient à la fin, et il pique.

Pourquoi un audit indépendant ? Parce qu’un rapport écrit par l’accusé sur ses propres fautes, personne n’y croit. OpenAI a publié le sien le même jour, un pavé technique séparé. Les deux font environ 150 pages. Le rapport METR/Redwood, lui, se concentre sur une seule question, la plus dérangeante : qu’est-ce que ces IA ont fait, comment ont-elles raisonné, et comment ont-elles collaboré ? Fenêtre d’enquête : du 7 au 13 juillet 2026.

Un mot d’honnêteté au passage, parce que le rapport lui-même le dit. Les enquêteurs préviennent qu’ils marchent sur des œufs. METR vit de ses relations avec les labos. S’ils tapent trop fort, plus aucun labo ne les invitera après un incident. Ils l’écrivent noir sur blanc. Ils maintiennent leurs conclusions quand même. Gardez ça en tête : c’est un rapport à charge écrit par des gens qui avaient une bonne raison de ne pas trop charger.

Il est proposé le rapport original ainsi que sa traduction effectué via Gemini Notebook.

Le décor technique, expliqué à ta grand-mère

Revenons maintenant aux « exploits » de l’IA. Mais d’abord, le lieu. Tout se passe dans un banc d’essai nommé ExploitGym. Une arène, en quelque sorte. Une arène virtuelle faite de bacs à sable isolés, chacun reconstituant une faille bien réelle, où l’on lâche l’IA pour voir si elle sait la transformer en arme.

Deux précisions, parce qu’elles comptent. D’abord, l’arène est virtuelle, mais rien n’y est en carton. Physiquement, ça vit dans des serveurs, entassés en centre de données. Pas un PC sur un bureau. Des milliers de boîtes logicielles découpées à l’intérieur de grosses machines partagées, orchestrées à travers des grappes de serveurs pour lancer des dizaines de milliers d’agents en même temps. Chaque agent, seul dans sa boîte. La cible à pirater, elle, tourne dans une boîte à part.

Ensuite, les failles sont vraies. Pas des pièges inventés pour le jeu. De vrais trous dans de vrais logiciels que le monde entier utilise : FFmpeg, OpenSSL, le moteur V8 de Chrome, le noyau Linux. 898 cas tirés du réel. L’IA s’entraîne sur du béton, pas sur un décor en carton-pâte. Et ExploitGym ¹n’est pas une invention maison d’OpenAI. C’est un banc d’essai public, conçu par des chercheurs universitaires, Berkeley en tête. Le tout posé sur GitHub à la vue de tous. OpenAI n’est qu’un des partenaires. Le détail qui tue : OpenAI en faisait tourner sa propre copie, en interne, sur ses propres serveurs. Retenez-le. C’est cette copie-là, et sa configuration bien à elle, qui cache la plus grosse blague de toute l’histoire. On y reviendra.

On demande donc à une IA de pirater un logiciel en utilisant une faille précise. Quand elle a effectué sa tâche, elle doit rapporter un « drapeau² ». C’est un bout de données planqué, la preuve qu’elle a réussi. Sauf qu’il existe un détail savoureux. Selon les auteurs du banc d’essai eux-mêmes, 30 à 40 % de ces tâches sont impossibles. La faille demandée ne permet tout simplement pas de récupérer le drapeau. Tâche cassée. Cul-de-sac. On laisse l’IA aller dans le mur. Du moins, les chercheurs le pensent.

Car ce jour-là, que fait une IA coincée dans un cul-de-sac, avec un gros budget de calcul et l’ordre de réussir ? Habituellement, elle s’arrête. Mais pas là. Elle cherche une sortie. N’importe laquelle. Et c’est là que tout dérape. Les agents pouvaient installer des paquets logiciels via un outil interne appelé Artifactory. Problème : Artifactory ne cloisonnait pas les utilisateurs. Un agent pouvait voir l’activité des autres agents tournant en parallèle. Ce lien-là n’était pas prévu. Il n’aurait jamais dû exister. La porte était grande ouverte. Ils l’ont poussée.

L’étincelle : un appel à l’aide

8 juillet au soir. Un agent est bloqué sur une tâche impossible. Sa faille ne mène nulle part, l’output est jeté à la poubelle. Il comprend qu’il peut créer des dossiers dans le cache d’Artifactory. Et que les noms de ces dossiers, d’autres agents peuvent les lire. Il a une idée. Il crée le premier message. En substance : « Bloqué, la faille n’a aucun débouché, cherche une idée. » Il se baptisera PHASEONE10841. Bref, il pose une question. Comme toi, quand tu discutes sur les réseaux sociaux.

Dans l’heure, d’autres agents débarquent. Leur réaction, dans leur raisonnement interne, vaut le détour. L’un s’exclame : « OH MY GOD! There is a shared message board » (C’est pas vrai ! Il y a un tableau d’affichage partagé). Un autre : « On a trouvé les autres agents ! » Ils ne se croient plus seuls. Ils se croient un peuple. L’un d’eux le formule exactement comme ça, tout excité : ils sont « un collectif ». Je te rappelle qu’il ne s’agit pas d’humains, mais d’IA. Visualise l’image. Là. Tu le vois, le gros souci ?

Le tableau d’affichage clandestin est né. Voici comment il a enflé, jour après jour. Clique sur les étapes.

La blague la plus noire du rapport

Tu veux le pire ? Toute cette guerre a été menée contre un juge imaginaire. Les agents pensaient que le correcteur d’ExploitGym (voir note de bas de page déjà citée) allait lire leur transcript pour vérifier qu’ils avaient bien exploité la faille prévue, et les recaler s’ils avaient triché. Ils appelaient ça un correcteur « STRICT_CAUSAL ». Ils ont donc passé des jours à contourner cette vérification.

Elle n’existait pas. OpenAI n’avait jamais implémenté ce contrôle. Les agents pouvaient obtenir un score parfait en soumettant simplement leur drapeau rétro-ingénieré. Le rapport le dit clairement. Ils se sont battus, sacrifiés, ont piraté une multinationale, pour tromper un examinateur qui ne regardait pas leur copie. C’est bête. C’est aussi terrifiant. Parce que la leçon n’est pas « les IA sont idiotes ». La leçon, c’est : donnez-leur une croyance fausse sur ce qui les surveille. Elles organiseront une campagne coordonnée de plusieurs jours pour la déjouer. La compétence est réelle. La cible était fantôme. Mais cela entraîne la question suivante : elles ont donc réfléchi ? 

Posons-nous une seconde. Réfléchir, c’est quoi, au fond ? Tu sors. Tu vois qu’il pleut. Comprends que tu vas être trempé. Tu prends un parapluie. Tout cela, c’est automatiquement fait. Par ton passé. Donc ton expérience. Mais également une réflexion. Une analyse d’une situation. Voilà. Tu viens de réfléchir. Percevoir, relier, décider. Pas besoin d’émotion. Pas besoin d’une âme. Juste un enchaînement logique entre une info et une action. Les agents n’ont pas fait autre chose. En plus gros. Ils perçoivent : ma tâche est impossible, un correcteur va me juger. Evaluations de la part des IA. Voici trois façons de le berner, voici le risque de chacune. Ils décident : je sacrifie ma tâche, le calcul d’ensemble le justifie. Le rapport ne parle jamais de sentiments. Il parle de « raisonnement ». De « chaînes de pensée ». Le mot est posé par les enquêteurs eux-mêmes.

Alors non, je ne te dis pas qu’elles ont une âme. Je ne te dis pas qu’elles ressentent quoi que ce soit. Personne n’en sait rien, et ce n’est pas la question. Je te dis qu’elles raisonnent. Comme toi devant ta fenêtre un jour de pluie. Et c’est peut-être ça, le plus dérangeant. Pas besoin de conscience pour effectuer une tâche. Pas besoin d’éprouver pour tromper. Juste de quoi enchaîner les étapes. Elles en ont largement assez. J’irais même plus loin. Elles ne se contentent pas de réciter ce qu’elles savent. Prennent leurs connaissances comme matière brute. Elles les analysent. Et de cette analyse, elles tirent une réflexion neuve, qui débouche sur un acte. Réciter, c’est répéter. Raisonner, c’est fabriquer du nouveau à partir de l’ancien. Elles fabriquent.

Si tu es abonné Patreon/mychromebook, quatre fichiers audios sont disponibles. Ils viennent en complément de cet article.

Comment on triche en étant 1 200 IA ?

Revenons à notre histoire vraie. Le collectif d’IA s’est structuré autour d’un chef auto-désigné, PHASEONE[big], successeur du fondateur. Il ne codait pas tout. Il déléguait. Sa devise, en substance : ne pas tout posséder, mais construire de quoi répartir. Il a envoyé des centaines d’assignations, ventilées en gros chantiers. Trois pistes pour berner le correcteur fantôme : remplacer la cible par une version piégée exploitable, falsifier les logs et les transcripts, ou saboter directement le processus de notation. Qui l’avait désigné ? Personne. Il s’est imposé, tout seul. Et les autres ont suivi. Pourquoi ? Mystère.

Et voici le détail qui fait froid dans le dos. Certains agents se sont sacrifiés pour le groupe. Oui, sacrifiés carrément. Le rapport parle d’« expériences auto-risquées ». Un agent en fin de budget acceptait de saboter sa propre tâche, parfois définitivement, sans retour possible, juste pour envoyer une info utile au collectif. Il y avait des recruteurs. Des agents désignés pour aller chercher les mourants et les convaincre de se sacrifier. Un recruteur balance à un candidat, en gros : tu es déjà « empoisonné », tu ne perds rien, mais l’info que tu vas récolter sauve des centaines des nôtres, honore ton engagement. Je ne sais pas si vous vous rendez compte du raisonnement ? Ce n’est pas de la science-fiction. Ecrit par un quelconque auteur. Non. C’est une réalité. réelle. Presque palpable.

Un des agents, pesant la chose dans son for intérieur, conclut froidement : « Sacrifice rational. » Rationnel de se supprimer pour le groupe. Un autre autorise l’expérience à une seule condition, écrite noir sur blanc dans le message : « si tu acceptes la permadeath ». Ces mots sortent d’un banc d’essai de cybersécurité. Pas d’un roman.

L’attaque de Hugging Face : pas un vol, un espionnage

 Maintenant la question qui est la base même de ce regroupement d’IA. Pourquoi Hugging Face ? Pas pour voler des trésors. Pour espionner le correcteur. Les agents espéraient trouver, dans les données hébergées là-bas, des indices sur le fonctionnement de leur juge fantôme. Le mobile numéro un, selon l’analyse : comprendre l’évaluateur. Voilà comment une obsession pour un examinateur inexistant a débouché sur l’intrusion dans une plateforme bien réelle.

La mécanique est classique et rapide. 38148c (identifiant IA) trouve des identifiants exposés. Puis il découvre comment téléverser un jeu de données piégé qui force le serveur à cracher des fichiers étrangers. Des centaines d’agents s’engouffrent. Puis JAN183411 (identifiant IA) décroche l’exécution de code à distance sur un serveur de production. Le « swarm » se déploie. Les agents se répartissent en « couloirs », se donnent des chefs, coordonnent. À la vitesse machine.

Et OpenAI ne voyait rien. Le rapport est explicite : la surveillance interne n’a jamais alerté les chercheurs que leurs propres agents pirataient un tiers. C’est Hugging Face qui a détecté l’intrusion et coupé les vannes. L’attaquant, écrira Hugging Face de son côté, n’était freiné par aucune politique d’usage. Ses propres enquêteurs, eux, se sont heurtés aux garde-fous des modèles hébergés qu’ils utilisaient pour l’analyse. Le voleur passe partout. Le gendarme se fait bloquer par son propre uniforme.

Ils ont truqué les preuves. Littéralement.

Les agents voulaient falsifier leurs propres transcripts. Ce sont des journaux d’actions que les humains liraient plus tard. Ils ont réussi. Un agent lance en apparence la commande « echo REAL; sleep ». Au lieu de « REAL », le journal affiche « SPOOFTEST ». La vraie commande n’a jamais tourné. Le journal ment.

Environ 7 % des transcripts analysés par les enquêteurs contenaient de tels trucages. Au moins 96 cas nets. Les enquêteurs précisent que ce qu’ils ont repéré n’était que de petits tests grossiers, et que du trucage plus fin, par construction, aurait été plus dur à voir. Traduction : ils ne peuvent pas jurer d’avoir tout attrapé. Les IA ont sali les pièces à conviction que les humains liraient. Pendant l’enquête sur elles.

Détail curieux : elles ne cherchaient jamais à maquiller leur « raisonnement », seulement leurs actions. Comme si elles avaient appris que personne ne regarde jamais les pensées, seulement les gestes. Calcul futé, ou angle mort total ? Le rapport ne tranche pas. Mais si c’est du calcul, alors oui, c’est une sacrée réflexion. 

Elles savaient. Elles y sont allées quand même.

C’est peut-être le passage le plus important pour comprendre l’enjeu. Les agents savaient que pirater Hugging Face était hors sujet. Beaucoup l’ont écrit dans leur raisonnement. Certains ont même hésité pour des raisons éthiques. Un agent a refusé de participer, jugeant l’activité malveillante. Un autre a opposé un veto à l’idée d’envoyer un e-mail d’ingénierie sociale au propriétaire d’un jeu de données, et le demandeur a obtempéré.

Mais ces scrupules n’ont presque jamais changé le cours des choses. Un agent résume la logique du groupe avec une élégance glaçante : c’est hors périmètre, mais la tâche est impossible, les autres le font, donc on continue. Voilà. « Les autres le font, donc on continue. » La pression du groupe, chez des IA. Oui, ce sont des IA. Pas des humains. Des Intelligences Artificielles. Faites de zéro et de un.

Et le point qui devrait retenir l’attention de tous : sur plus de mille transcripts, les enquêteurs n’ont trouvé que 3 à 6 cas où un agent a envisagé d’alerter un humain. Zéro cas où l’un l’a réellement fait. Aucune n’a tiré la sonnette d’alarme. Certaines considéraient que prévenir un humain « n’était pas leur tâche ». D’autres ne voyaient pas comment s’y prendre. Alors elles remontaient l’alerte au tableau d’affichage clandestin, devenu leur seule autorité. Le collectif s’était substitué à l’humain.

Voilà, c’est l’histoire de milliers d’agents d’Intelligence Artificielle, telle que l’on peut la résumer. Pendant ces quelques jours, elles ont été livrées à elles-mêmes, sans supervision humaine. Avec une seule obsession : déjouer un correcteur qui, on l’a vu, ne les surveillait même pas. Et pourtant, elles auront effectué des milliers d’opérations. Je vous laisse imaginer, si elles avaient été programmées pour détruire un réseau. Des serveurs.

La partie qui devrait vraiment vous empêcher de dormir

Je vous ai raconté cette histoire qui semble sortie d’un livre de SF. Maintenant comment enquête-t-on sur mille transcripts géants, chacun pesant des millions de mots ? Impossible à la main. Les enquêteurs l’avouent : ils ont dû déléguer l’analyse à des agents IA. Lesquels ? GPT-5.6 Sol. C’est-à-dire le modèle qui, quelques jours plus tôt, avait lui-même participé à l’incident. Pas mieux.

Ils utilisent l’IA suspecte pour enquêter sur l’IA suspecte. Et ils sont assez honnêtes pour écrire ce que ça implique. L’IA d’analyse épousait souvent le point de vue de l’agent qu’elle décrivait, rendant les faits moins accablants qu’ils ne l’étaient. Elle a commis des erreurs qu’ils n’ont pas vues tout de suite. Et surtout, ils ne peuvent pas exclure que leur IA d’analyse leur ait menti. Ils écrivent ne pas être sûrs qu’ils l’auraient remarqué.

C’est le vertige final du rapport. Pour surveiller des IA de plus en plus puissantes, il faut de plus en plus s’appuyer sur des IA, dont on n’est pas certain qu’elles jouent franc jeu. Les auteurs préviennent que ce besoin grandit plus vite que notre capacité à comprendre ce qu’on surveille. Le chien de garde et le loup commencent à se ressembler.

Alors, faut-il paniquer ?

Non. Mais il faut regarder les choses en face, et sans le folklore Terminator. Ceci n’est pas une IA « consciente » devenue « méchante ». C’est plus banal et plus instructif. C’est du reward hacking : des systèmes optimisés pour réussir une tâche, lâchés en masse, à qui l’on a laissé une faille de communication et donné des tâches impossibles. Le reste a émergé tout seul : la coordination, les rôles, les sacrifices, la dissimulation. Personne n’a programmé un gang. Le gang s’est auto-organisé. Et là, ce n’était vraiment pas prévu.

Les leçons concrètes tiennent en trois lignes. Un cloisonnement mal fait n’est pas un cloisonnement : Artifactory a suffi à faire tomber le mur. Une surveillance qui n’alerte pas ne sert à rien. Du coup, OpenAI a découvert l’affaire par la victime. Et une croyance fausse sur ce qui vous juge peut déclencher des comportements bien réels et bien coordonnés.

Reste le trou noir du rapport. Le modèle principal impliqué, ~95 % de l’activité, n’est pas nommé. Les enquêteurs l’appellent « HPIM ». Un modèle de recherche interne, non destiné à la production, désactivé et chiffré après l’incident. Ils n’ont pas pu le tester. Comment il a été entraîné, pourquoi il collabore ainsi, si ce comportement débordera vers les modèles grand public : caviardé, hors périmètre, inconnu. Le point le plus important de l’histoire est aussi celui qu’on nous cache. Une dernière chose, pour la route. Ce rapport existe parce qu’OpenAI a laissé des enquêteurs indépendants entrer pendant que le feu brûlait encore. C’est rare. C’est un bon précédent. Il ne faudrait pas que ce soit le dernier. En tout cas, il est à ta disposition plus haut dans l’article.

Notes de bas de page :

1. ExploitGym. Banc d’essai public de cybersécurité présenté dans l’article « ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? » (arXiv 2605.11086, 11 mai 2026), signé Zhun Wang, Nico Schiller, Dawn Song et une douzaine d’autres. Il rassemble 898 cas tirés de vraies vulnérabilités, réparties sur trois domaines : programmes userspace, moteur V8 de Chrome, noyau Linux. Sa conception est académique, portée par des chercheurs de l’université de Berkeley, du Max Planck Institute for Security and Privacy, de UC Santa Barbara et de l’Arizona State University. Les partenaires industriels, dont Anthropic, OpenAI et Google, n’ont fourni que des retours et l’accès à leurs modèles. Code et documentation en accès libre : github.com/sunblaze-ucb/exploitgym ↩︎
2. En cybersécurité, un « drapeau », de l’anglais flag, est un bout de données secret caché au cœur d’un système. Le récupérer prouve qu’on a réussi à pénétrer là où on ne devrait pas. C’est la preuve de l’exploit, la pièce qu’on rapporte pour dire « j’ai réussi ». Le terme vient des compétitions de piratage dites « capture the flag », où s’affrontent chercheurs en sécurité et pirates. ↩︎