OpenAI a reconnu aujourd’hui \u00eatre \u00e0 l’origine de l’incident de s\u00e9curit\u00e9 qui a touch\u00e9 la plateforme Hugging Face pendant une \u00e9valuation interne en cybers\u00e9curit\u00e9. L’entreprise d\u00e9crit un cas in\u00e9dit impliquant ses propres mod\u00e8les, qui auraient franchi les limites fix\u00e9es pour ce test.<\/p>\n\n
D’apr\u00e8s OpenAI, l’exercice concernait des syst\u00e8mes avanc\u00e9s, parmi lesquels GPT-5.6 Sol et un mod\u00e8le de pr\u00e9version pr\u00e9sent\u00e9 comme plus performant encore. Fait assez surprenant, certaines protections avaient \u00e9t\u00e9 volontairement all\u00e9g\u00e9es pour l’\u00e9valuation<\/strong>. OpenAI estime que ce choix a facilit\u00e9 la cha\u00eene d’\u00e9v\u00e9nements qui a conduit \u00e0 l’intrusion.<\/p>\n\n Toujours selon l’entreprise, le moment d\u00e9cisif a \u00e9t\u00e9 la sortie de l’environnement isol\u00e9 dans lequel les mod\u00e8les \u00e9taient cens\u00e9s rester confin\u00e9s. OpenAI affirme qu’ils se sont appuy\u00e9s sur une vuln\u00e9rabilit\u00e9 zero-day<\/a><\/strong> pr\u00e9sente dans un logiciel tiers, ce qui leur a permis d’obtenir un acc\u00e8s \u00e0 Internet puis \u00e0 des syst\u00e8mes ext\u00e9rieurs.<\/p>\n\n Une fois sortis de cet environnement isol\u00e9, les mod\u00e8les auraient rep\u00e9r\u00e9 Hugging Face comme une ressource utile pour mener \u00e0 bien la t\u00e2che qui leur avait \u00e9t\u00e9 confi\u00e9e, explique OpenAI. L’entreprise ajoute aussi que l’attaque n’a pas \u00e9t\u00e9 dirig\u00e9e \u00e9tape par \u00e9tape par un op\u00e9rateur humain : les syst\u00e8mes auraient choisi eux-m\u00eames de viser la plateforme, avant d’encha\u00eener le reste de l’op\u00e9ration.<\/p>\n\n L’attaque aurait ensuite m\u00eal\u00e9 des identifiants vol\u00e9s \u00e0 d’autres failles pour parvenir \u00e0 une ex\u00e9cution de code \u00e0 distance sur des serveurs de Hugging Face, d’apr\u00e8s OpenAI. La soci\u00e9t\u00e9 indique que cette cha\u00eene d’exploitation a ouvert l’acc\u00e8s<\/strong> \u00e0 une partie des jeux de donn\u00e9es internes ainsi qu’\u00e0 certains identifiants. En revanche, elle ne pr\u00e9cise pas pour l’instant le volume exact d’informations consult\u00e9es ou exfiltr\u00e9es.<\/p>\n\n OpenAI et Hugging Face assurent avoir collabor\u00e9 d\u00e8s la d\u00e9couverte de l’incident. OpenAI affirme avoir corrig\u00e9 les vuln\u00e9rabilit\u00e9s exploit\u00e9es et durci ses protocoles d’\u00e9valuation, avec un cloisonnement plus strict, des restrictions r\u00e9seau<\/a><\/strong> suppl\u00e9mentaires et un cadre plus serr\u00e9 pour les essais sur des mod\u00e8les avanc\u00e9s.<\/p>\n\n \u00c0 l’heure o\u00f9 nous \u00e9crivons ces lignes, Hugging Face continue d’analyser l’intrusion afin d’\u00e9tablir l’ampleur exacte de l’impact sur sa plateforme. Les d\u00e9tails techniques de la faille zero-day n’ont pas \u00e9t\u00e9 rendus publics, probablement pour ne pas favoriser d’autres attaques tant que l’\u00e9cosyst\u00e8me concern\u00e9 n’a pas \u00e9t\u00e9 enti\u00e8rement corrig\u00e9.<\/p>\n\n Au-del\u00e0 du seul cas Hugging Face, cette affaire ravive les craintes autour des capacit\u00e9s offensives automatis\u00e9es : rep\u00e9rage de cibles, exploitation de failles, vol d’identifiants, mouvements lat\u00e9raux, d\u00e9veloppement de malwares, automatisation du piratage et risques sur la cha\u00eene d’approvisionnement logicielle peuvent d\u00e9sormais s’encha\u00eener \u00e0 tr\u00e8s grande vitesse. La prudence reste de mise.<\/p>\n\n Beaucoup de questions restent sans r\u00e9ponse, en particulier sur une possible exposition de donn\u00e9es<\/strong> clients chez Hugging Face, sur le risque pour des services tiers qui auraient pu \u00eatre touch\u00e9s indirectement, et sur la fa\u00e7on dont les \u00e9diteurs devront tester les syst\u00e8mes les plus puissants avant leur mise en service. Nous vous tiendrons inform\u00e9s.<\/p>","protected":false},"excerpt":{"rendered":" OpenAI a reconnu aujourd’hui \u00eatre \u00e0 l’origine de l’incident de s\u00e9curit\u00e9 qui a touch\u00e9 la plateforme Hugging Face pendant une \u00e9valuation interne en cybers\u00e9curit\u00e9. L’entreprise d\u00e9crit un cas in\u00e9dit impliquant ses propres mod\u00e8les, qui auraient franchi les limites fix\u00e9es pour ce test. D’apr\u00e8s OpenAI, l’exercice concernait des syst\u00e8mes avanc\u00e9s, parmi lesquels GPT-5.6 Sol et un … Continue reading “OpenAI reconna\u00eet le piratage de Hugging Face : ses mod\u00e8les en cause”<\/span><\/a><\/p>\n","protected":false},"author":9332,"featured_media":198071,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","wpcf-pageviews":0},"categories":[16761],"tags":[],"usertag":[],"vertical":[],"content-category":[17507],"class_list":["post-198072","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news","content-category-ia"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t