Une dizaine de jours après la découverte du piratage de cette licorne fondée par des français, on commence à avoir une vue plus détaillée de ses modalités. Un retour d’expérience crucial pour les experts en cybersécurité.
Mi-juillet 2026 : la pépite de l'intelligence artificielle Hugging Face, fondée par des français à New-York, signale la détection d’une intrusion dans son infrastructure de production. Quelques jours plus tard, le géant de l’IA générative OpenAI avoue que le piratage est à mettre au débit de deux de ses modèles, GPT‑5.6 Sol et un autre plus performant, en cours d’évaluation sur leurs capacités cyber.
Plus d’une dizaine de jours après ce piratage considéré par Clément Delangue, le directeur général de Hugging Face, comme l’un des premiers du genre, on commence à en savoir plus sur les détails techniques de l’intrusion. Un exercice assez stupéfiant qui va donner du grain à moudre aux spécialistes de la cybersécurité.
Car en tout, Hugging Face a compté pas moins en cinq jours de 17 613 actions de la part des attaquants, un volume regroupé dans 6 280 blocs. « La plupart de ces actions n’ont rien donné, rappelle l’entreprise. Cependant, leur combinaison a permis de couvrir suffisamment de terrain pour identifier une chaîne viable à travers plusieurs systèmes indépendants. »
Tout a commencé, rappelait OpenAI, par l’évasion réussie des agents de leur environnement de test. Ces derniers avaient réussi, en utilisant une infrastructure tierce, un bac à sable de l’entreprise de calcul Modal, à exploiter une faille jour-zéro dans le proxy de cache du registre de paquets, une vulnérabilité que JFrog, le fournisseur de la solution de bac à sable, vient de colmater.
Leurs buts ? Plutôt que de chercher avec leurs ressources la solution au problème qu’ils étaient censés résoudre, les agents ont opté pour une voie jugée plus efficace, rechercher la solution sur Internet. Et plus précisément dans l’infrastructure d’Hugging Face… Un détournement qui va être repéré bien tardivement par OpenAI.
Assez classiquement, la manœuvre a débuté par une opération de reconnaissance et la recherche d’identifiants dans l’infrastructure, avant de s’accélérer au troisième jour. A ce moment-là, l’agent va par exemple réussir à s’authentifier sur un serveur de données opérationnelles interne après avoir récupéré un mot de passe statique, ou encore obtenir une clé d’authentification d’un VPN, un moyen de pivot clé.
Pour rentrer sur le réseau, l’un des agents avait d’abord créé « des configurations de jeux de données malveillantes et les a téléchargées sur notre plateforme », détaillent les experts d’Hugging Face. Après traitement des jeux de données, les résultats étaient analysés par l’agent.
Autant d’actions qui vont être finalement détectées par…. Le système d’agents de sécurité basé sur l’IA de Hugging Face. Surtout, l’IA va être également utilisée pour reconstituer l’attaque, après toutefois un premier écueil. Prenant cet exercice de rétro-ingénierie pour un vrai piratage, les deux modèles utilisés dans un premier temps, Claude Opus et Fable, vont refuser d’exécuter ce travail.
Hugging Face va finalement s’appuyer sur le modèle IA open weight GLM-5.2 de la société chinoise Z.ai. Un passage obligé par l’IA, au vu du nombre d’actions de l’attaquant à analyser et à retracer. Conclusion des experts : les modalités de l'attaque auraient pu être faites par des humains. Mais en matière de défense, « c’est le volume qui change la donne ».
L’exploitation combinée de deux vulnérabilités permet de prendre le contrôle de certains sites basés sur WordPress. La gravité de la faille fait craindre des tentatives d'exploitation en masse.
Le parti d’extrême-droite a vu son site internet défacé et le compte X de sa candidate détourné pour la promotion d’un jeton crypto.
Outre de nouvelles révélations dans la presse, le Security Lab d’Amnesty international vient de publier un rapport faisant le point sur ce qu’on sait aujourd’hui des capacités d’intrusion du logiciel espion.
Six cybercriminels et deux militaires : le profil de ces huit russes rappelle la forte imbrication entre espions et pirates à Moscou.
Norton, Bitdefender, McAfee, Avast ou Surfshark proposent un antivirus avec VPN inclus. Voici ce que ces offres apportent vraiment, et leurs limites.
Windows intègre Microsoft Defender par défaut. Suffit-il face aux virus, au phishing et aux ransomwares, ou faut-il un antivirus tiers ?
Les tablettes Android sont bien protégées, mais aucun appareil mobile n’est totalement à l’abri. Un bon antivirus reste l’un des meilleurs moyens d’éviter les infections.
Un ordinateur sans antivirus, c'est un peu comme laisser sa porte d'entrée ouverte en partant au travail. Les conséquences peuvent en effet être sérieuses : fichiers chiffrés par un ransomware, données bancaires aspirées via une tentative de phishing, ou simple ralentissement qui cache en réalité un logiciel malveillant installé depuis des semaines. Ces dernières années, le marché des logiciels antivirus s’est profondément transformé : certains acteurs ont fusionné, les offres se sont complexifiées, et les menaces n’ont jamais été aussi sophistiquées. En 2026, comment s'y retrouver ? Faut-il encore payer, ou les versions gratuites suffisent-elles vraiment ? Est-ce que Bitdefender écrase la concurrence, ou Norton tient-il toujours la route face à Kaspersky, Avast, Avira et AVG ? Ce guide répond à toutes ces questions, sans détour et avec des informations concrètes.
Ces sésames générés par l'intelligence artificielle sont-ils vraiment aléatoires ? Des études indiquent que ces combinaisons ainsi créées sont bien moins sûres qu'on pourrait le croire.
Cette forme d’hameçonnage par QR code se développe en prenant différentes formes. Voici comment les repérer et éviter d'en être victime.
Apprenez à repérer les signes indiquant que votre compte est surveillé ou piraté, et reprenez le contrôle.
