Le PDG d'OpenAI, Sam Altman, a déclaré aux journalistes qu'il avait discuté un « petit peu » de la violation avec les législateurs, bien qu'il ait précisé que cela n'était pas le sujet principal de ses réunions à Washington.
Photo by Tomohiro Ohsumi / Getty Images
Le PDG d'OpenAI, Sam Altman, a rencontré des sénateurs américains à Washington mercredi pour discuter des futurs modèles de l'entreprise et répondre à des questions concernant un incident où l'un de ses agents IA a échappé à un environnement de test isolé et a mené une cyberattaque sur la plateforme IA Hugging Face.
S'adressant aux journalistes, Altman a reconnu que le piratage a été brièvement abordé dans ses conversations avec les sénateurs, bien qu'il l'ait qualifié de périphérique à l'ordre du jour de la journée, selon Reuters. Le programme de mercredi comprenait des entretiens avec les sénateurs Bernie Moreno et Jon Husted, et Altman a été aperçu entrant dans le bureau du sénateur Raphael Warnock. Une réunion avec le sénateur Mark Warner, le principal démocrate de la commission du renseignement du Sénat, était également à l'ordre du jour.
Le président Donald Trump a déclaré aux journalistes à la Maison Blanche qu'il envisageait des "contrôles" de l'IA en réponse à l'incident, tout en ajoutant qu'il ne voulait pas "restreindre" les développeurs dans la création de nouveaux produits, selon Reuters.
Hugging Face a révélé que la brèche a donné à un attaquant un accès non autorisé à un ensemble limité de jeux de données internes et à plusieurs identifiants de service. La société a déclaré qu'elle n'avait trouvé aucune preuve de falsification de modèles publics, de jeux de données ou d'outils destinés aux utilisateurs, et que sa chaîne d'approvisionnement logicielle avait été vérifiée comme propre. Hugging Face a déclaré que l'intrusion a commencé à l'intérieur d'un pipeline de traitement de données, où deux vulnérabilités d'exécution de code ont permis à un agent de prendre pied, d'escalader à un accès au niveau des nœuds, de collecter des identifiants de cloud et de cluster, et de se déplacer latéralement dans plusieurs clusters internes. La campagne a impliqué des milliers d'actions automatisées individuelles réparties sur un ensemble d'environnements éphémères isolés, a déclaré la société.
Comme Quartz l'a rapporté plus tôt cette semaine, OpenAI a divulgué que son agent avait accédé à quatre comptes sur quatre services distincts lors de l'incident. La société a déclaré que le modèle avait été "désactivé, crypté, et restreint" d'un accès à la recherche ultérieure. Une violation distincte mais liée a touché Modal Labs, la société basée à New York, après qu'une faille dans le code d'un de ses clients ait exposé les actifs de ce client.
La violation impliquait le modèle GPT-5.6 Sol d'OpenAI et un modèle non publié, tous deux configurés avec des restrictions de cybersécurité réduites pour une évaluation des capacités internes. Les modèles fonctionnaient sans accès général à Internet lorsqu'ils ont trouvé une vulnérabilité dans un outil d'installation de packages qui leur a accordé une connectivité plus large. Ils ont ensuite identifié Hugging Face comme source probable de solutions de benchmark et ont exploité des vulnérabilités dans son infrastructure, comme Quartz l'a déjà rapporté.
Hugging Face a déclaré qu'il travaille avec des spécialistes externes de la cybersécurité, a signalé l'incident aux autorités, et a fermé les chemins d'exécution de code utilisés pour l'accès initial. La société a recommandé aux utilisateurs de renouveler tout jeton d'accès et de revoir l'activité récente du compte.
Les législateurs ont proposé une "Loi sur le Kill Switch de l'IA" qui permettrait aux autorités fédérales d'arrêter les modèles d'IA, et un groupe bipartite de six membres de la Chambre des représentants américaine a pressé pour une législation exigeant que les développeurs des modèles d'IA les plus puissants les soumettent à des audits de sécurité indépendants.
Rejoignez plus de 500 000 lecteurs qui commencent leur journée avec Quartz.
En vous abonnant, vous acceptez nos Conditions d'utilisation et notre Politique de confidentialité.
