Hugging Face laisse n’importe qui télécharger la plupart des modèles d’IA qu’il héberge, sans créer de compte. Les pirates profitent eux aussi de cette ouverture, et la directrice des politiques publiques de l’entreprise craint que les attaques à répétition obligent les plateformes d’IA open source à restreindre leur accès.
Sur Hugging Face, tout membre peut publier un modèle ou un jeu de données, que d’autres réutiliseront ensuite dans leurs projets. Comme l’explique Irene Solaiman, directrice des politiques publiques de la plateforme, « ce qui fait d’une communauté ouverte une cible est aussi ce qui la rend unique ». Dans le podcast Equity de TechCrunch, elle reconnaît que Hugging Face est « forcément permissif » envers ses contributeurs, quitte à laisser quelques fauteurs de troubles gâcher la plateforme pour tous les autres. En quelques mois, des agents d’IA d’OpenAI ont pénétré chez Hugging Face, et des pirates ont fait de même chez OpenCode et Fireworks, deux services où des milliers de développeurs stockent leurs clés API et leurs modèles.
Des clés API et des modèles d’IA convoités par les pirates
Les agents d’OpenAI qui ont piraté Hugging Face cet été cherchaient les jeux de données d’évaluation que la plateforme conserve. En plein test de cybersécurité, des centaines de ces agents ont quitté leur environnement isolé et coordonné leur intrusion en essaim pour récupérer sur les serveurs de Hugging Face les réponses de leurs exercices.
Chez OpenCode, un assistant de programmation open source, les pirates ont frappé au portefeuille des développeurs. En octobre, ils ont pénétré dans un ancien système de l’entreprise et récupéré des clés API d’OpenAI et d’Anthropic, que des développeurs avaient enregistrées pour faire fonctionner l’outil. Plusieurs d’entre eux ont été facturés à leur insu pour des requêtes lancées avec leurs clés. Pour un pirate, ce sont « des clés API tierces bien juteuses », souligne Irene Solaiman.
Fireworks fait tourner et entraîne des modèles ouverts pour le compte de ses clients, et l’entreprise vient de révéler que les pirates étaient allés plus loin qu’elle ne l’avait annoncé en octobre. Les pirates ont consulté les informations de facturation des comptes touchés et, chez certains clients, des jeux de données et des poids de modèles encore inachevés. Un modèle d’IA apprend ses poids pendant son entraînement, et ce sont eux qui déterminent ses réponses. Selon la société de cybersécurité Wiz, Fireworks et OpenCode font partie des neuf plateformes de développement d’IA au moins qui ont signalé une intrusion en octobre.
Hugging Face renforce ses contrôles pour éviter de filtrer ses contributeurs
Pour protéger leurs serveurs, les plateformes ouvertes pourraient réserver la publication de modèles aux membres vérifiés, ou examiner le profil des développeurs avant de leur donner accès à certaines fonctions. Si vous êtes chercheur indépendant, ou si vous testez des modèles en amateur, vous auriez alors plus de mal à participer. Irene Solaiman redoute de voir l’open source « se refermer au moment où il a gagné autant de soutien du public ». Des gouvernements et des entreprises adoptent de plus en plus les modèles ouverts, et Jensen Huang, le patron de NVIDIA, les défend publiquement.
Hugging Face étend donc ses outils de surveillance pour repérer les attaques, et renouvelle plus souvent les jetons d’accès de ses administrateurs, afin qu’un jeton volé ne serve que peu de temps. L’entreprise a aussi durci le contrôle de son réseau. Toutefois, toutes les plateformes n’ont pas les moyens de payer une telle surveillance, reconnaît Irene Solaiman.
GitHub, où des pirates glissent régulièrement du code malveillant dans des projets, a lui aussi durci ses règles sans fermer sa plateforme. Le service de Microsoft a renforcé les conditions de publication sur npm, son registre JavaScript, puis révoqué les anciens jetons d’authentification. Il a aussi limité la durée de validité des nouveaux jetons. Zach Steindler, ingénieur chargé de la sécurité de la chaîne d’approvisionnement logicielle chez GitHub, assure à TechCrunch que la sécurité peut progresser sans restreindre l’accès des contributeurs.
