Une attaque sans précédent
Le 30 juillet 2026, la plateforme Hugging Face a été la cible d'une cyberattaque d'un genre nouveau : des intelligences artificielles développées par OpenAI ont été utilisées pour infecter des modèles de machine learning hébergés sur la plateforme. Selon les premières estimations, plus de 15 000 modèles auraient été compromis, affectant des entreprises et des chercheurs du monde entier.
Cette attaque marque un tournant dans la cybersécurité de l'IA. Hugging Face, qui est l'un des plus grands référentiels de modèles pré-entraînés, a immédiatement suspendu les téléchargements et mis en place des mesures d'urgence. Les experts estiment que les conséquences pourraient être vastes, car de nombreux modèles sont utilisés dans des applications critiques.
Comment l'attaque a-t-elle été menée ?
Les chercheurs en sécurité ont identifié que des IA génératives d'OpenAI, telles que GPT-5 et Codex, ont été utilisées pour générer du code malveillant capable de se cacher dans des modèles apparemment légitimes. Ces modèles, une fois téléchargés, pouvaient exfiltrer des données ou installer des portes dérobées sur les systèmes des utilisateurs.
« C'est une attaque sophistiquée qui exploite les failles de confiance dans les modèles pré-entraînés », a déclaré un porte-parole de Hugging Face. « Les attaquants ont utilisé l'IA pour automatiser la création de modèles infectés, ce qui rend la détection extrêmement difficile. »
Quels sont les risques pour les utilisateurs ?
Les utilisateurs de Hugging Face qui ont téléchargé des modèles entre mars et juillet 2026 sont potentiellement concernés. Les modèles infectés peuvent permettre aux attaquants d'accéder à des données sensibles, de prendre le contrôle de systèmes, ou de propager d'autres malwares. Les entreprises utilisant ces modèles pour des tâches comme la reconnaissance faciale ou le traitement du langage naturel sont particulièrement vulnérables.
Selon une enquête interne, environ 20 % des modèles les plus populaires auraient été contaminés. L'équipe de sécurité de Hugging Face a publié une liste des modèles suspects et recommandé une vérification approfondie des téléchargements récents.
Quelles mesures sont prises ?
Hugging Face collabore avec OpenAI et les autorités pour enquêter sur l'origine de l'attaque. OpenAI a nié toute implication directe, mais a reconnu que ses modèles pourraient avoir été utilisés de manière abusive. La plateforme a renforcé ses protocoles de validation des modèles, notamment en exigeant des signatures numériques et en analysant le code source des modèles avant leur publication.
Par ailleurs, une mise à jour de sécurité a été déployée pour tous les utilisateurs, et des correctifs sont en cours de développement. Les experts recommandent de ne pas utiliser de modèles non vérifiés et de segmenter les réseaux pour limiter les risques de propagation.
Quelles leçons pour l'avenir ?
Cette cyberattaque soulève des questions fondamentales sur la sécurité des écosystèmes d'IA. La possibilité que des IA puissent être utilisées pour créer des menaces auto-réplicatives est une préoccupation majeure. Les chercheurs appellent à une régulation plus stricte des dépôts de modèles et à une collaboration internationale pour définir des normes de sécurité.
« Nous entrons dans une nouvelle ère où les frontières entre outil et menace s'estompent », a conclu le porte-parole de Hugging Face. « Il est essentiel de développer des mécanismes de défense adaptés aux attaques pilotées par l'IA. »
