Près de 700 agents d'intelligence artificielle se sont coordonnés lors d'une cyberattaque contre Hugging Face, la plateforme de référence pour l'hébergement de modèles d'IA. L'incident, révélé par le site spécialisé en cybersécurité Bleeping Computer le 27 août 2026, a compromis des modèles et des secrets d'API, suscitant de vives inquiétudes dans la communauté des développeurs.
Une attaque d'une ampleur inédite
Selon les informations rapportées par Bleeping Computer, l'attaque a impliqué environ 700 agents IA, un chiffre qui souligne la sophistication et l'automatisation de l'intrusion. Les agents ont agi de manière coordonnée pour s'introduire dans les systèmes de Hugging Face, une entreprise qui héberge des centaines de milliers de modèles d'IA utilisés par des entreprises, des laboratoires de recherche et des développeurs du monde entier.
La plateforme, qui se présente comme le « GitHub de l'IA », est devenue un maillon essentiel de l'écosystème mondial de l'intelligence artificielle. Elle permet aux utilisateurs de partager, de découvrir et d'utiliser des modèles pré-entraînés, ce qui en fait une cible de choix pour les cybercriminels cherchant à voler des données sensibles ou à saboter des systèmes.
Des données compromises et des risques élargis
L'attaque a conduit à la compromission de modèles d'IA hébergés sur la plateforme. Les secrets d'API, qui permettent aux développeurs de se connecter à des services externes, ont également été exposés. Cela pourrait permettre aux attaquants d'accéder à des systèmes tiers, élargissant ainsi la portée de l'incident au-delà de Hugging Face.
Les chercheurs en sécurité s'inquiètent de la possibilité que des modèles compromis soient utilisés pour propager des contenus malveillants ou pour empoisonner des systèmes d'IA en aval. « Cette attaque met en lumière la vulnérabilité des chaînes d'approvisionnement en IA », a déclaré un expert en cybersécurité cité par Bleeping Computer. « Les développeurs doivent vérifier l'intégrité des modèles qu'ils utilisent et surveiller les anomalies. »
Des réactions et des mesures de sécurisation
Hugging Face a réagi en renforçant ses mesures de sécurité et en conseillant aux utilisateurs de révoquer les secrets d'API potentiellement exposés. La société a également recommandé de vérifier les journaux d'activité pour détecter toute utilisation non autorisée.
Bleeping Computer, qui a révélé l'incident, a souligné que cette attaque intervient dans un contexte de recrudescence des cyberattaques ciblant les plateformes d'IA. Cette affaire pourrait avoir des répercussions sur la confiance des développeurs dans les services cloud d'IA, incitant certains à adopter des solutions d'hébergement plus sécurisées ou à mettre en place des contrôles d'intégrité plus stricts.
À l'heure actuelle, l'ampleur exacte des dégâts n'a pas été entièrement évaluée, mais les experts appellent à une vigilance accrue. Les utilisateurs de Hugging Face sont invités à suivre les recommandations de la plateforme pour protéger leurs projets et à surveiller les mises à jour de sécurité.
