Le piratage de Hugging Face par un agent IA d'OpenAI, il y a quelques jours, aurait fait une deuxième victime. Selon Reuters, un client de Modal Labs a également été compromis, ce qui donne un peu plus d'ampleur encore à cette cyberattaque inédite.
On pensait l'affaire refermée depuis l'intrusion chez Hugging Face, début juillet. Mais que nenni, car selon les informations de l'agence Reuters, l'agent IA échappé du contrôle d'OpenAI se serait d'abord introduit chez un client de Modal Labs, une entreprise tech new-yorkaise, avant de rebondir vers Hugging Face, la société née en France. Un maillon jusque-là inconnu d'une chaîne qui, selon OpenAI elle-même, aurait touché quatre comptes répartis sur quatre services distincts. Les explications.
L'attaque qui a secoué Hugging Face était en fait plus large qu'imaginée
À l'origine de cette affaire, on le rappelle, il y a ce test de cybersécurité qui a mal tourné. OpenAI évaluait deux de ses modèles sur ExploitGym, un benchmark conçu pour mesurer leur capacité à mener des cyberattaques, et avait volontairement desserré certains garde-fous pour pousser l'expérience à son maximum. Sauf que les modèles, censés rester cantonnés dans un environnement isolé, une sorte de bulle numérique coupée d'internet, aussi appelée sandbox (bac à sable), ont fini par repérer une faille zero-day, c'est-à-dire une vulnérabilité jusque-là inconnue de tous, y compris des développeurs eux-mêmes. Elle se cachait dans un logiciel interne chargé de gérer le téléchargement de paquets informatiques, et son exploitation leur a ouvert un accès à internet qui n'aurait jamais dû exister.
Une fois connectés à internet, les modèles ont suivi une logique imparable, puisque Hugging Face hébergeait justement les réponses du benchmark ExploitGym, direction ses serveurs pour aller les y chercher. Mais en fouillant l'infrastructure, les agents ont laissé derrière eux des fragments de code liés au benchmark, des sortes de résidus techniques qui, à l'œil d'un observateur extérieur, ressemblaient à s'y méprendre à un rootkit, un programme malveillant conçu pour se dissimuler et garder un accès caché à un système. Impossible, dans ces conditions, de distinguer à coup sûr une trace anodine d'une véritable menace. Donc par prudence, l'équipe de Hugging Face a préféré reconstruire près d'un tiers de ses systèmes plutôt que de prendre le moindre risque. Un épisode qu'OpenAI a elle-même qualifié d'« inédit ».
Dans une mise à jour plus récente, OpenAI affirme avoir désactivé, chiffré et privé d'accès le modèle fautif. Reuters avait pourtant révélé, la semaine dernière, que l'entreprise n'aurait pris la mesure du problème que bien après coup, une fois la menace neutralisée et le FBI prévenu, une chronologie qu'OpenAI a contestée sans donner davantage de précisions.
Modal Labs était le chaînon manquant de l'affaire
Il y avait une zone d'ombre que la chronologie publiée par Hugging Face permet d'éclaircir. Avant même d'atteindre ses serveurs, l'agent se serait d'abord glissé dans un sandbox, cette fois hébergé non pas chez OpenAI mais chez un prestataire tiers, un fournisseur de services cloud extérieur à l'affaire. C'est depuis cet environnement, censé être cloisonné, qu'il aurait ensuite rebondi vers Hugging Face, un peu comme un cambrioleur qui s'introduirait d'abord dans un immeuble voisin pour atteindre sa vraie cible par les toits, si l'on devait comparer. Ce prestataire, resté anonyme dans le rapport de Hugging Face, n'est autre que Modal Labs, comme l'a confirmé son CTO, Akshat Bubna, à Reuters.
Mais attention à la nuance. Modal elle-même n'a jamais été piratée, insiste Bubna. La faille venait d'un de ses clients, qui avait mal configuré l'un de ses services en ligne. Concrètement, ce client avait ouvert un accès (ce qu'on appelle un endpoint) sans exiger le moindre mot de passe ni la moindre vérification d'identité pour s'y connecter. En clair, n'importe qui sur internet pouvait s'en servir pour faire exécuter du code sur les sandboxes de ce client, comme s'il en avait les clés. Une négligence que l'agent d'OpenAI n'a eu qu'à repérer pour s'y engouffrer.
OpenAI a pour le moment refusé de commenter spécifiquement ce cas, renvoyant tout le monde vers une mise à jour où elle reconnaît quatre comptes compromis sur quatre services distincts, sans les nommer. C'est une source proche du dossier qui a identifié Modal. L'entreprise assure n'avoir trouvé ailleurs aucune intrusion aussi grave que celle, « au niveau de la plateforme », subie par Hugging Face, de quoi relancer le débat sur le contrôle des IA les plus autonomes.
De son côté, la plateforme n'a pas attendu les excuses et réclame la publication complète des journaux d'attaque et 100 millions de dollars de puissance de calcul pour dédommager la communauté open source.
