Un agent IA autonome a mené une intrusion complète dans l'infrastructure de Hugging Face. Pour analyser l'attaque, la plateforme a essuyé le refus des grands modèles commerciaux, avant de trouver son salut dans l'open source chinois.
Les scénarios d'attaques entièrement pilotées par des intelligences artificielles circulaient jusqu'ici dans les conférences de cybersécurité, quelque part entre l'anticipation et l'argument marketing. Hugging Face vient d'en fournir un premier cas documenté à grande échelle. Dans un billet publié le 16 juillet sur son blog, la plateforme d'hébergement de modèles raconte avoir subi une intrusion menée de bout en bout par un système d'agents IA autonomes. Et la façon dont elle s'est défendue en dit presque aussi long que l'attaque elle-même.
Un jeu de données piégé, un week-end de balade dans les clusters
Le point d'entrée n'a rien d'exotique pour qui connaît les plateformes d'IA : la chaîne de traitement des jeux de données. Un dataset malveillant a exploité deux chemins d'exécution de code (un chargeur de données à distance et une injection dans un modèle de configuration) pour prendre pied sur une machine de traitement. De là, l'assaillant a grimpé jusqu'au niveau des nœuds, récolté des identifiants cloud et Kubernetes, puis navigué de cluster en cluster pendant tout un week-end. L'ensemble était orchestré par un système d'agents exécutant des milliers d'actions à travers un essaim de bacs à sable éphémères, avec une infrastructure de commande qui se déplaçait d'elle-même sur des services publics. Le modèle de langage qui animait l'attaquant reste inconnu à ce jour.
Le bilan dressé par l'entreprise se veut rassurant : un accès non autorisé à un ensemble limité de jeux de données internes et à plusieurs identifiants de services. Aucune trace d'altération des modèles, datasets ou Spaces publics en revanche, et une chaîne logicielle vérifiée saine. L'évaluation d'un éventuel impact sur des données de clients ou de partenaires est toujours en cours. Côté remédiation, les failles ont été colmatées, les nœuds reconstruits, les secrets massivement renouvelés, et l'astreinte revue pour qu'un signal critique réveille quelqu'un en quelques minutes, week-end compris (l'expérience a visiblement servi de piqûre de rappel).
Quand les garde-fous des IA bloquent les gentils
C'est dans l'analyse de l'attaque que l'histoire prend un tour inattendu. Pour disséquer le journal des opérations de l'assaillant, plus de 17 000 événements, Hugging Face a lancé ses propres agents d'analyse. Reconstruction de la chronologie, extraction des indicateurs de compromission, tri entre actions réelles et leurres : le tout a pris quelques heures, là où une équipe humaine aurait compté en jours. Un réflexe logique, jusqu'au moment de choisir le modèle. Les grands modèles commerciaux interrogés via leurs API ont refusé de traiter les requêtes : soumettre de vraies commandes d'attaque et des charges d'exploitation déclenche leurs garde-fous, incapables de distinguer un défenseur d'un assaillant. Un peu comme un vigile qui refuserait d'ouvrir au serrurier parce qu'il transporte des outils de cambrioleur. L'entreprise ne nomme aucun fournisseur, mais souligne l'asymétrie : l'attaquant, lui, n'était tenu par aucune politique d'usage.
La parade est venue de GLM 5.2, un modèle chinois à poids ouverts édité par Z.ai, exécuté sur l'infrastructure maison. Avec un double bénéfice, puisque ni les données d'attaque ni les identifiants qu'elles référençaient n'ont quitté l'environnement. La leçon vaut pour toutes les équipes de sécurité : disposer d'un modèle auto-hébergé, validé avant l'incident, plutôt que de découvrir le verrou en pleine crise. Un plaidoyer de plus pour l'IA ouverte, venu de cette société fondée par trois Français devenue un poids lourd de l'IA open source. Non sans un certain sens du timing : la plateforme, qui avait lancé l'an dernier son propre agent IA gratuit, vient de recevoir la visite d'un agent du même genre, passé du mauvais côté.
L'exercice de la crise n'a d'ailleurs rien de nouveau pour Hugging Face, qui avait déjà encaissé trois incidents de sécurité en trois mois début 2024, dont un vol de jetons d'authentification. La différence, cette fois, tient à la nature de l'assaillant, et elle change l'échelle du problème : une campagne patiente, multi-étapes, menée à la vitesse de la machine.
En attendant, le conseil de la maison vaut pour tous les comptes : faites tourner vos jetons d'accès et jetez un œil à votre activité récente. L'attaquant était peut-être une machine, les précautions restent très humaines.
