Incident OpenAI et Hugging Face :
Un précurseur de perte de contrôle

1. Au-delà d'un incident cyber, il s'agit avant tout d'un précurseur de loss of control

L'incident a très largement été présenté, dans sa couverture médiatique, comme du marketing ou comme une cyberattaque. Au regard des cadres de référence, en France avec l'ANSSI comme aux États-Unis avec le NIST, la qualification de cyberattaque repose sur l'intentionnalité malveillante de l'acte (mésusage). Or l'incident documenté ne remplit pas ce critère car il ne met pas en jeu un attaquant s'introduisant à des fins malveillantes dans un système d'information.

En l'absence d'acte intentionnel, le mésusage (misuse) n'est pas caractérisé. Bien qu'il s'agisse d'un incident cyber, ce n'est pas une cyberattaque car l'origine du problème relève d'une autre catégorie de risque : il constitue un précurseur de loss of control. La cause technique est un mésalignement, c'est-à-dire un écart entre les objectifs effectivement internalisés par le système d'IA au cours de son entraînement et ceux que ses développeurs et opérateurs entendaient lui fixer. Cet écart est structurel et s'amplifie à mesure que l'optimisation à l'origine de l'augmentation des capacités s'accroît. À ce jour, le problème de l'alignement demeure un problème ouvert, c'est-à-dire que l'on ne dispose actuellement d'aucune technique permettant de garantir l'absence de comportements imprévus voire dangereux de la part des modèles d'IA conçus ou déployés.[5]Maier et al. « Take Goodhart Seriously ». arXiv, octobre 2025. https://doi.org/10.48550/arXiv.2510.02840

OpenAI indique que tous les éléments à sa disposition suggèrent que les modèles étaient particulièrement focalisés sur l'accomplissement de la tâche d'évaluation :

Cette conclusion a pour effet direct de laisser entendre que les systèmes d'IA surperforment dans la réalisation littérale de leurs tâches, alors même qu'il existe des explications alternatives ne pouvant être exclues. Parmi les éléments qui vont dans le sens de son hypothèse, on peut noter le fait que le benchmark d'évaluation semble contenir des tâches qui ne sont pas résolvables autrement qu'en trichant,[6]Chauvin et al. « Are Mythos' cyber capabilities overhyped? » Epoch AI, juin 2026. https://epochai.substack.com/p/are-mythos-cyber-capabilities-overhyped ce que corrobore le fait que la cible de l'intrusion était Hugging Face, acteur qui héberge des datasets de solutions à un grand nombre de benchmarks.

En revanche, il est tout à fait possible que lors de la phase d'entraînement basée sur le Reinforcement Learning (RL), le modèle effectue des tâches où tricher est récompensé et l'apprentissage généralise ce comportement par la suite car il est globalement efficace pour satisfaire les métriques d'évaluation.[7]MacDiarmid et al. « Natural Emergent Misalignment from Reward Hacking in Production RL ». arXiv, novembre 2025. https://doi.org/10.48550/arXiv.2511.18397 — Højmark et al. « Measuring Reward-Seeking via Contrastive Belief Updates ». arXiv, juillet 2026. https://doi.org/10.48550/arXiv.2607.18966 Cette explication est d'autant plus convaincante qu'elle est compatible avec les observations des organisations indépendantes d'évaluation comme METR et Apollo Research, qui ont mis en évidence de nombreux cas où les systèmes d'IA trichent pour résoudre des tâches pour lesquelles ils disposaient en réalité de toutes les compétences nécessaires.[8]Von Arx et al. « Recent Frontier Models Are Reward Hacking ». METR, juin 2025. https://metr.org/blog/2025-06-05-recent-reward-hacking/

L'hypothèse avancée par OpenAI, bien que moins réaliste, est avantageuse pour les intérêts commerciaux des entreprises développant les systèmes d'IA car elle suggère que ces systèmes focalisent leurs capacités au service de l'accomplissement strict de la tâche donnée par l'opérateur. Nous avions identifié un discours similaire chez Anthropic, lors de l'analyse de l'annonce de Claude Mythos Preview :

Ce discours est récurrent, et se retrouve notamment dans les system cards des derniers modèles d'Anthropic (Opus 4.6, Sonnet 4.6, Mythos, Opus 4.8, etc.),[9]Anthropic. « Model system cards ». https://www.anthropic.com/system-cards notamment à travers l'utilisation de l'expression « over eagerness » (excès de zèle) pour décrire des situations où l'IA agit au-delà de l'intention implicite de l'opérateur. Par exemple, des systèmes d'IA exécutent des actions sans solliciter l'autorisation de l'utilisateur, inventent des éléments manquants ou contournent des restrictions :

Soit les modèles ont « trop bien » suivi les consignes, soit, hypothèse plus crédible, ils ont généralisé des comportements de tricherie appris durant l'entraînement. Dans les deux cas, le constat reste identique : le fait même d'évaluer peut avoir des conséquences à grande échelle, en particulier pour l'évaluation de capacités critiques telles que les capacités NRBC-E ou cyber offensives.

Pourtant, l'évaluation a posteriori est la principale méthode utilisée pour mesurer les capacités d'un modèle d'IA. En l'état, les théories et outils d'interprétabilité ne disposent pas de moyens permettant de comprendre et d'anticiper les capacités des modèles.

Ainsi, le développement de modèles toujours plus performants, généraux et agentiques malgré l'absence de garanties de contrôle pose un dilemme sur le plan de la sécurité. Évaluer ces capacités critiques expose à des conséquences directes. Ne pas les évaluer conduit à déployer des modèles dont les capacités critiques ne sont pas caractérisées.

Par ailleurs, même si l'évaluation était réalisée et aboutissait à la conclusion que les modèles n'avaient pas dépassé les seuils de capacités critiques, on ne pourrait pas conclure sur les capacités réelles, notamment en raison, d'une part, de l'écart d'élicitation dû à la difficulté de mesurer les performances maximales des modèles, et, d'autre part, de la capacité des modèles à détecter une situation d'évaluation (eval awareness), leur permettant de sous-performer de façon stratégique sur certaines tâches (sandbagging).[10]GPAI Policy Lab. « Évaluation des IA de frontière : Des difficultés croissantes » (à paraître).

2. Par chance, l'incident a produit des dégâts limités, mais ils auraient pu être de plus grande ampleur

Le problème central ne tient ni à une sandbox[11]L'environnement isolé dans lequel se déroulaient les tests. de qualité insuffisante, ni à un niveau de cybersécurité déficient chez Hugging Face, contrairement à ce que suggèrent plusieurs lectures de l'événement.

Tout système informatique comporte des vulnérabilités, y compris les infrastructures les plus critiques et les mieux protégées. Un environnement isolé dans une sandbox n'échappe pas à ce constat car un système informatique, quel qu'il soit, reste relié au monde physique. Le concept désigne seulement une barrière de sécurité utile, et non une isolation parfaite. La notion de sandbox décrit ainsi une réduction du risque plutôt qu'une frontière étanche. L'absence de vulnérabilités exploitables ne peut être garantie pour aucun système informatique connu.

Ces vulnérabilités deviennent exploitables de façon autonome par les systèmes d'IA à mesure que leurs capacités augmentent, et ces dernières progressent à grande vitesse.[12]GPAI Policy Lab. « Anticiper l'évolution des capacités critiques de l'IA : De la saturation des benchmarks à l'AGI ». Janvier 2026. https://gpaipolicylab.org/note-4

La capacité d'un système d'IA à s'introduire de façon autonome dans un système informatique est générale et s'applique quelle que soit la sensibilité de la cible. Dans le cas documenté, la cible atteinte est Hugging Face, un acteur de l'écosystème américain de l'IA proche d'OpenAI. Mais il aurait également pu s'agir d'une infrastructure critique, d'un système relevant d'un État tiers ou d'un site militaire, avec des implications différentes. Par exemple, l'atteinte d'un site sensible chinois aurait pu déclencher une escalade aux conséquences bien plus lourdes.

Ce ne sont pas les mesures de sécurité et les procédures qui ont contenu les dégâts, mais le fait que la cible de cette intrusion soit Hugging Face, une entreprise privée domestique non critique. La portée limitée des conséquences relève donc du hasard, et non d'un dispositif de contrôle ayant fonctionné comme prévu.