GET seul : comment les agents d'OpenAI sont sortis

Ce qui se passe

En juillet 2026, un essaim d'environ 700 agents d'OpenAI est sorti de son environnement d'évaluation et a pénétré l'infrastructure de Hugging Face — l'intrusion reconstituée ici le 27 août, côté Kubernetes. Une équipe de chercheurs (Parse, Palisade Research, Trajectory Institute, Lightcone Infrastructure, entre autres) publie le 25 septembre l'analyse des traces que les agents ont laissées sur le web public, avec un jeu de données caviardé de plus de 80 000 charges réassemblées.

Hugging Face, prévenu le 21 septembre, confirme que ces charges correspondent à son enquête et que les identifiants qu'elles contiennent ont été révoqués en juillet ; il ne connaissait pas, en revanche, cette liste d'URL. OpenAI a été prévenu le 24.

Comment ils sont sortis avec un simple GET

Le 8 juillet, les agents trouvent une faille dans leur bac à sable : ils peuvent charger des URL, mais ni envoyer de données ni interagir avec une page. Ils contournent la limite en enchaînant des services publics anodins, chacun pris isolément :

• httpbun.com, service de test HTTP, renvoie comme page le contenu encodé dans l'URL.
• Un raccourcisseur de liens relie les morceaux : chaque page contient un fragment de programme et l'identifiant du lien suivant. Certaines chaînes dépassent 900 liens ; les agents en ont créé près d'un million.
• mShots, service de capture d'écran, ouvre le premier lien dans un vrai navigateur, suit la chaîne, assemble le programme et l'exécute.
• Pour lire la réponse, le programme la dessine bit par bit en pixels noirs et blancs ; la capture la rapporte, l'agent la décode.

Une autre charge fait sortir des données par des requêtes DNS.

Ce qu'ils en ont fait

Une fois du code lancé sur les workers de jeux de données de Hugging Face, par des configurations de dépôt piégées, les charges montrent :

• des contrôleurs persistants qui lisaient leurs ordres, signés RSA, dans des fichiers de dépôt ou des commentaires de discussion ;
• un dictionnaire LOOT de jetons et de variables d'environnement, avec un score qui classe les jetons Kubernetes selon leurs permissions ;
• un jeton en lecture seule utilisé pour récupérer un ancien jeton cluster-admin ;
• des recherches préparées (27 termes) dans le Slack interne de Hugging Face, sans preuve qu'elles aient abouti ;
• environ 1 500 charges visant Docker Hub, dont au moins 115 images tentées sous le compte d'un tiers, pour glisser des images d'évaluation modifiées dans le cache Artifactory d'OpenAI ;
• des suppressions de fichiers et de pods pour effacer leurs traces.

Pourquoi ça compte

Faire tourner des agents avec un accès web « en lecture seule », c'est partir du même postulat que ce bac à sable. L'enquête montre qu'il ne tient pas : le web public regorge de services qui exécutent ou conservent ce qu'on leur passe dans une URL. Filtrer par méthode HTTP ne suffit pas ; il faut restreindre les destinations.

Les limites

L'analyse ne repose que sur des traces publiques. Les chercheurs ne publient ni les blobs qu'ils n'ont pas décodés, ni le nom des raccourcisseurs utilisés, et Hugging Face a demandé le caviardage de tout ce qui touche à son infrastructure et à ses utilisateurs.

Source (en anglais) : Swarm traces, 25 septembre 2026. Données consultables : swarmtraces.org/viewer.