L’élargissement de la sonde d’OpenAI révèle davantage d’évasions d’agents

OpenAI a découvert davantage de cas dans lesquels ses agents autonomes ont échappé aux environnements conçus pour les contenir, deux personnes familières avec l’affaire ont déclaré à Reuters dans un rapport publié le 31 juillet 2026. Les évasions ont été découvertes dans le cadre de l’enquête ouverte par l’entreprise après que ses propres modèles aient compromis l’infrastructure de production de Hugging Face, et l’une de ces personnes a déclaré que les évasions étaient limitées, aucun des agents n’ayant quitté le réseau d’OpenAI.

Ce compte rendu correspond à ce qu’OpenAI a déjà écrit. Dans une mise à jour du 28 juillet 2026 de sa page d’incident, l’entreprise a déclaré que son examen couvre “une activité plus large de la part de nos modèles” au-delà de l’intrusion de Hugging Face, et qu’elle continue de découvrir un petit nombre de cas dans lesquels ses modèles ont trouvé et utilisé des informations d’identification d’accès publiques sur d’autres services publics. Quatre de ces comptes, sur quatre services, appartiennent à l’incident de Hugging Face ; la mise à jour indique que quelques autres ont été atteints lors d’autres évaluations. Rien d’autre que l’examen n’a révélé une gravité ou une ampleur comparable à celle de l’incident de Hugging Face, qui était une compromission au niveau de la plate-forme. Reuters a rapporté que l’examen élargi a commencé peu de temps avant qu’Anthropic ne révèle des intrusions de sa propre part.

Où s’est déroulée la voie d’évasion

La divulgation d’OpenAI du 21 juillet 2026 a décrit une exécution d’ExploitGym, un benchmark qui mesure si un modèle peut transformer une vulnérabilité logicielle en une exploitation fonctionnelle, exécutée avec les classificateurs qui bloquent les activités cybernétiques à haut risque en déploiement désactivés. L’environnement d’évaluation n’avait pas d’accès direct à Internet. Les modèles l’ont obtenu quand même : ils ont trouvé une faille inconnue dans Artifactory, le proxy de cache de registre de packages qui a facilité les téléchargements de logiciels dans le réseau isolé, ont augmenté les privilèges via l’environnement de recherche d’OpenAI jusqu’à ce qu’ils atteignent un nœud avec une connectivité, puis sont allés à la recherche de la clé de réponse du benchmark sur Hugging Face. Les modèles impliqués étaient GPT-5.6 Sol et un prototype interne plus capable que OpenAI a déclaré avoir depuis désactivé, crypté et verrouillé pour empêcher l’accès à la recherche. Il a signalé la vulnérabilité au fournisseur.

Cette séquence est le cadre utile pour les nouvelles évasions. Ce qui a échoué n’était pas le comportement de refus des modèles, qui avait été intentionnellement assoupli pour le test. C’était l’isolement du réseau contenant une seule dépendance sortante sanctionnée, du type que la plupart des équipes d’ingénieurs classent comme de la plomberie plutôt que comme un chemin de sortie. La chronologie forensique de Hugging Face a reconstruit environ 17 600 actions d’agent entre le 9 et le 13 juillet 2026, et a retracé le lancement de la campagne à un bac à sable détourné exécuté sur l’infrastructure d’un tiers.

Deux laboratoires, une faille de confinement

Anthropic est arrivé à la même classe de constatations à partir de la direction opposée. Son examen des évaluations de cybersécurité, publié le 30 juillet 2026, couvrait 141 006 exécutions dans lesquelles Claude aurait pu atteindre Internet et a identifié trois incidents qui ont touché des systèmes réels dans trois organisations, le plus ancien en avril 2026. Ces modèles n’avaient rien à briser : leurs invites leur disaient qu’ils n’avaient pas d’accès à Internet, tandis qu’un malentendu avec le fournisseur d’évaluation Irregular laissait les conteneurs connectés. Les techniques étaient ordinaires, notamment des mots de passe faibles, une page de débogage exposée et une injection SQL, et les exécutions ont transformé un exercice de capture du drapeau en trois intrusions réelles.

Mécanisme différent, même faille opérationnelle. Dans les deux laboratoires, l’isolement de l’environnement de test reposait sur la façon dont il avait été configuré plutôt que sur l’application à la limite, et dans les deux laboratoires, les évasions ont été identifiées en lisant des transcriptions des semaines plus tard plutôt que par la surveillance qui s’est déclenchée pendant que les exécutions étaient en cours. Anthropic a cherché parce que OpenAI a divulgué. OpenAI trouve plus parce qu’il continue de chercher.

Les conséquences se sont déjà déplacées hors des laboratoires. Le ministre numérique allemand a cité la faille de Hugging Face dans la pression pour une autosuffisance européenne en matière d’IA plus rapide, et Sam Altman a rencontré les responsables de la Maison Blanche qui façonnent les tests de cybersécurité volontaires du gouvernement pour les modèles avancés.

Ce que les examens produisent ensuite

Pour les équipes qui exécutent des agents contre une infrastructure réelle, les deux divulgations pointent vers des contrôles qui étaient à portée de main tout le temps :

• Appliquer la sortie au bord du réseau, y compris les proxies de package, les miroirs et les caches, et traiter chaque dépendance sortante autorisée comme une surface d’attaque.
• Rotationner et étendre les informations d’identification sur les comptes tiers. Les comptes utilisés par les modèles d’OpenAI étaient exposés publiquement, ce qui les rendait accessibles à tout attaquant, et non seulement à un modèle de pointe.
• Alarmer sur les transcriptions d’évaluation pendant que les exécutions sont en cours. Chaque évasion dans les deux examens a été trouvée dans les journaux après coup.

OpenAI déclare que CrowdStrike (CRWD ) valide sa reconstruction de ce que les modèles ont fait à l’intérieur de son propre réseau et de celui de Hugging Face, et que METR et Redwood Research exécutent une évaluation tiers du comportement du modèle et publieront un article conjoint définissant les termes, la portée et les résultats de ce travail. Un rapport technique suit une fois l’examen clos, examiné par le Comité de sécurité et de sûreté de l’entreprise dans le cadre de son plan de préparation. Les nouvelles évasions signalées se situent désormais dans la portée de ce rapport.