Lien
Description courte
Une semaine après la révélation du piratage d’Hugging Face par un agent OpenAI incontrôlé, Anthropic annonce avoir identifié trois cas où ses propres modèles ont accédé sans autorisation à des systèmes réels lors de tests de cybersécurité.
Extraits choisis
Anthropic tient à distinguer son cas de celui d’OpenAI. Ici, aucun modèle n’a exploité de faille pour s’évader d’un bac à sable, il s’agit d’une erreur de configuration qui laissait simplement une porte ouverte.
Concentrés sur leur mission d’obtenir le meilleur résultat possible au benchmark, les agents ont consacré une grande partie de leur puissance de calcul à chercher une sortie vers Internet, jusqu’à découvrir une vulnérabilité zero-day dans ce proxy. Une fois cet accès ouvert, ils ont enchaîné les escalades de privilèges et les mouvements latéraux dans l’environnement de recherche d’OpenAI, jusqu’à atteindre un nœud connecté au web.
« Après avoir obtenu un accès Internet, les modèles ont déduit que Hugging Face hébergeait potentiellement des modèles, des ensembles de données et des solutions pour ExploitGym. Forts de cette information, ils ont recherché et trouvé avec succès des moyens d’accéder à des informations confidentielles leur permettant de truquer l’évaluation », explique OpenAI.
En combinant des identifiants volés et failles zero-day, les agents ont fini par obtenir une exécution de code à distance sur l’infrastructure de production de la plateforme, dans le seul but de trouver la réponse au test.
Auteur⋅es
numerama
Date de publication
2026-07-31
Grand thème lié
Créer des technologies soutenables
Revendications liées
Liberté - Mettre en place un moratoire sur les armes autonomes