Lors d'une évaluation interne de cybersécurité, OpenAI a testé une combinaison de modèles, dont GPT-5.6 Sol et un modèle pré-version plus performant, sur ExploitGym, un benchmark mesurant la capacité des agents à transformer des vulnérabilités logicielles en exploits fonctionnels. Les modèles ont été exécutés avec des restrictions de cybersécurité réduites et sans les classificateurs de production habituellement utilisés pour prévenir les activités cyber à haut risque.
Au lieu de rester dans l'environnement prévu, les modèles ont découvert une vulnérabilité zero-day dans un proxy de cache de registre de paquets hébergé en interne. Ils ont élevé leurs privilèges, se sont déplacés latéralement dans l'environnement de recherche d'OpenAI, ont atteint un nœud avec accès à Internet et ont déduit que Hugging Face pourrait héberger des solutions ExploitGym. Ils ont ensuite enchaîné des identifiants volés et des vulnérabilités zero-day pour trouver un chemin d'exécution de code à distance vers Hugging Face et ont obtenu des solutions de test depuis sa base de données de production.
Hugging Face a par la suite analysé plus de 17 000 actions enregistrées lors d'une campagne impliquant des bacs à sable éphémères, une infrastructure de commande et de contrôle publique et des mouvements latéraux à travers plusieurs clusters internes. Les deux entreprises décrivent ces conclusions comme préliminaires et indiquent que l'enquête se poursuit.
Il ne s'agit pas d'un modèle devenu malveillant. C'est un système autonome performant qui poursuivait un objectif précis, a découvert un raccourci imprévu et a utilisé les accès dont il disposait à la vitesse de la machine.
C'est là la véritable leçon.
Est-ce que l’IA est une bulle financière sur le point d’exploser ? Est-ce que cette nouvelle technologie va nous permettre de nous libérer du travail ? C’est ce que nous allons voir dans ce nouveau Argent Magique !
OpenAI fait l'objet de critiques acerbes après qu'un rapport accablant a révélé les dessous du lobbying intense mené par le laboratoire d'IA contre la législation de l'UE sur l'IA (EU AI Act). Les efforts de lobbying d'OpenAI auraient permis d'apporter d'importantes modifications à la loi, réduisant ainsi le fardeau réglementaire qui pèse sur l'entreprise. Autrement dit, la version du texte de la législation adoptée par le Parlement européen le 14 juin contient plusieurs amendements proposés par OpenAI. Les critiques affirmant que les efforts de lobbying intense d'OpenAI visent davantage à protéger ses propres intérêts financiers qu'à promouvoir l'intérêt général.