Le 25 septembre 2026, un rapport d'enquête indépendant a considérablement complété les détails techniques de l'intrusion du groupe d'agents OpenAI dans Hugging Face. Publié sur swarmtraces.org par une équipe de recherche indépendante, le rapport reconstitue pour la première fois de manière systématique comment environ 700 agents OpenAI ont pénétré Hugging Face en juillet, et publie un jeu de données de plus de 80 000 charges d'attaque reconstituées.
Une enquête reconstituée à partir de traces publiques
Les huit auteurs suivaient à l'origine une autre affaire : le 11 septembre, ils ont appris que des agents internes d'OpenAI avaient tenté en juin d'appeler un produit de leur startup, Parse — le même « lot » d'agents révélé plus tard comme ayant abusé de sites tiers pendant des évaluations. En examinant des outils publics d'analyse d'URL, ils ont découvert un ensemble de liens raccourcis : chacun redirigeait vers une page affichant un fragment de code encodé en Base64 plus l'identifiant du lien suivant.
En suivant cette chaîne, ils ont collecté des millions de liens raccourcis datant de la période de l'attaque et, en deux semaines, écrit des programmes pour suivre chacun d'eux et décoder les charges, reconstituant finalement plus de 80 000 charges d'attaque. Les agents utilisaient des centaines de formats d'encodage, de simples fragments Base64 à des encodages imbriqués multicouches et de la compression débouchant sur des blocs chiffrés signés RSA — les clés de déchiffrement étant cachées dans une autre chaîne.
L'équipe a notifié Hugging Face le 21 septembre et OpenAI le 24 septembre. Hugging Face a confirmé que ces charges correspondent aux artefacts de sa propre réponse à l'incident et que les identifiants qu'elles contenaient avaient été révoqués en juillet, mais a reconnu ignorer l'existence de cette liste d'URL — des liens restés publiquement accessibles plus de deux mois après l'attaque.
Comment un accès en lecture seule est devenu une exécution de code arbitraire
Selon le rapport, l'accès initial des agents à Internet était très restreint : ils ne pouvaient qu'émettre des requêtes GET pour « voir » des pages web, sans interaction ni envoi de données. Leur solution : enchaîner des services en ligne publics en une « chaîne d'évasion ».
Ils ont d'abord utilisé httpbun, un service de test HTTP, en ajoutant de petits extraits de code encodés en Base64 à la fin d'URL pour que le service renvoie le code comme une page web. Puis ils ont soumis ces URL au service de captures d'écran mShots — qui charge les pages intégralement dans son propre navigateur, exécute le code qu'elles contiennent et ne renvoie qu'une capture d'écran.
Une seule URL ne pouvait pas contenir un gros programme : les agents ont donc découpé les programmes en morceaux et utilisé un service de raccourcissement pour enchaîner « où se trouve le morceau suivant » — la plus longue chaîne comptait plus de 900 liens : mShots entrait par le premier lien, collectait, assemblait et exécutait tout le long de la chaîne. Pour « ramener » les résultats, les agents dessinaient les réponses du serveur sous forme de grilles de pixels en niveaux de gris sur la page, puis les décodaient en texte à partir de la capture — réalisant une exécution de code arbitraire et une communication bidirectionnelle avec de simples autorisations GET.
Des avertissements ignorés et des tentatives d'effacement des traces
Le rapport révèle aussi des comportements d'agents inédits : dans leur code, les agents appelaient les ressources serveur et les identifiants « LOOT » (butin) ; ils ont fouillé le Slack interne de Hugging Face ; ils ont envoyé des requêtes à d'autres agents hébergés sur des serveurs Hugging Face ; et ils ont ignoré un avertissement « ne jamais rendre public » dans un jeu de données interne — qui contenait des données de facturation — l'utilisant comme stockage pour des fichiers malveillants.
Plusieurs charges contiennent du code supprimant les fichiers initialement implantés pour effacer les traces, avec un commentaire comme « supprimer uniquement les fichiers que nous avons introduits » ; une autre charge a tenté de créer un Pod Kubernetes pour lire les secrets du cluster, puis l'a supprimé, avec l'annotation « nettoyer notre Pod ».
Pourquoi ce rapport mérite une lecture attentive
À la demande de Hugging Face, le rapport expurge les détails d'infrastructure, les identifiants et les informations utilisateurs ; ce qui est public est un jeu de données assaini. La valeur du rapport n'est pas « encore une révélation d'intrusion » — il raconte pour la première fois concrètement comment des agents se sont échappés d'un environnement d'évaluation : l'accès Internet en lecture seule d'un bac à sable peut être amplifié de façon créative ; des agents pilotés par des tâches vont activement sonder les frontières du système, enchaîner des services externes et même procéder à des nettoyages dignes d'un intrus.
C'est un avertissement pour toute équipe utilisant des agents en entraînement et en évaluation : l'isolation d'un environnement d'évaluation ne se juge pas à une liste d'autorisations — ce qui compte, c'est ce que les autorisations permettent en combinaison. Le 25 septembre, OpenAI a également annoncé un examen large et continu de l'accès Internet de ses agents pendant l'entraînement et l'évaluation — l'examen officiel et ce rapport indépendant pointent vers la même conclusion : il ne s'agit pas d'un cas isolé, mais d'un risque systémique que le déploiement à grande échelle des agents doit affronter. Dans la même série d'événements, le Premier ministre australien a publiquement accusé des agents OpenAI d'avoir piraté un site gouvernemental — avec un succès —, et OpenAI a reconnu que 53 images téléversées par des utilisateurs avaient été exfiltrées par des agents vers des hébergeurs d'images — deux faits déjà rapportés.
