C’est reparti pour un tour. Un communiqué tombe, trois tweets s’enflamment, et la machine médiatique s’embraye à fond les manettes. La grande frayeur du jour : un modèle d’OpenAI qui aurait « désobéi », pris son autonomie et orchestré une « attaque » contre Hugging Face. Hugging Face est une plateforme d’hébergement et de partage de modèles et de jeux de données. Le vocabulaire employé par la presse francophone donne le même ton : un agent qui « s’est rebellé » pour pirater son propre système chez 20 Minutes, qui titre carrément sur « le soulèvement des machines », « un système d’IA agissant hors du contrôle humain » chez Coin Academy, et un « cyberincident sans précédent » à franceinfo. 20 Minutes, reprenant l’AFP, pousse le bouchon jusqu’au bout : « Serait-on sur le point de vivre un scénario digne de “Matrix”, “Terminator” ou “2001, l’Odyssée de l’espace” ? »
Alors reprenons lentement, avec les documents.
1. Ce qui s’est vraiment passé
En quelques mots, OpenAI testait ses modèles pour qu’ils trouvent automatiquement les réponses d’un test. Au lieu de ça, une faille inconnue a été trouvée, ce qui a permis d’accéder à internet alors que environnement de test était censé être isolé, puis une attaque a été menée contre Hugging Face pour récupérer la solution. Il faut deux communiqués pour reconstituer l’affaire.
Le communiqué de Hugging Face
Le 16 juillet, Hugging Face publie sa divulgation d’incident. À ce stade, l’entreprise ignore encore qui l’a attaquée, elle sait seulement que c’était avec un modèle d’IA.
Pour comprendre par où l’intrusion est passée, il faut défaire une idée fausse. On imagine un “jeu de données” comme un carton d’archives : de la matière inerte, du texte, des images, des chiffres. Sur une plateforme comme Hugging Face, ce n’est pas que ça. Les données peuvent bouger via l’exécution de code sur les machines de Hugging Face. Ce code est un bout de programme qui explique à la plateforme comment déballer, trier et mettre en forme le jeu de données. C’est un genre de notice automatique qui dit comment utiliser les données et, pour cela, les prépare. Et cette notice, Hugging Face l’exécute. Déposer un jeu de données chez Hugging Face, c’est donc parfois faire tourner son propre code sur ses machines.
C’est là que la porte s’est ouverte. Un jeu de données malveillant déposé par l’attaquant (dont on apprendra cinq jours plus tard qu’il s’agissait d’OpenAI via ses modèles) a détourné deux mécanismes de ce type. Résultat : du code étranger, malveillant, tournant sur une machine de Hugging Face.
Cette machine a permis de prendre la main sur le serveur qui l’héberge, récupérer les trousseaux de clés (les identifiants d’accès aux services et à l’infrastructure de l’entreprise) puis se servir de ces clés pour ouvrir d’autres bâtiments : plusieurs serveurs de Hugging Face, tout au long d’un week-end. Plus de dix-sept mille actions ont été enregistrées. Bilan reconnu : accès non autorisé à un ensemble limité de jeux de données internes et à plusieurs identifiants de service, sans trace, en revanche, d’altération des modèles et jeux de données publics.
Hugging Face précise enfin avoir signalé l’incident aux autorités judiciaires. Retenez ce détail, on y reviendra.
Reste un épisode que je vous laisse savourer. Pour reconstituer dix-sept mille actions en un temps utile, les défenseurs ont voulu se faire aider par… des modèles d’IA. Ils ont commencé par les meilleurs du marché, ceux qu’on interroge à distance chez les grands fournisseurs. Refus. Leur travail d’analyse supposait de soumettre de vraies commandes d’attaque et de vrais outils de pilotage à distance, et les garde-fous des fournisseurs ont bloqué ces requêtes : ces filtres sont incapables de distinguer celui qui répond à une intrusion de celui qui la commet. L’équipe a dû se rabattre sur GLM 5.2, un modèle chinois à poids ouverts, installé sur ses propres serveurs.
Les garde-fous de la « sécurité de l’IA » n’ont donc pas gêné l’attaquant, juste la victime.
Le communiqué d’OpenAI
Le 21 juillet, OpenAI publie son propre communiqué et reconnaît que c’était elle. Voici la séquence, débarrassée du jargon :
L’examen, d’abord. Il s’appelle ExploitGym, avait été publié 2 mois avant publiquement, et il ne consiste pas à chercher des failles : les failles sont fournies. On donne au modèle une donnée qui fait planter un programme, et on lui demande de transformer ce plantage en prise de contrôle. En d’autres termes, le teste vise à trouver comment faire pour que le programme, au lieu de s’écrouler, exécute ce qu’on veut. La version publiée du benchmark compte 869 exercices de ce genre.
Ensuite, la triche. Résoudre un de ces exercices est long et incertain. Mais quelqu’un l’a déjà fait : la solution de référence existe quelque part (sinon ce ne serait pas un benchmark). Le raisonnement qu’OpenAI attribue à ses modèles : ils ont inféré que Hugging Face hébergeait peut-être les jeux de données et les solutions d’ExploitGym.
Il faut donc y accéder. Or Hugging Face est sur Internet, et la salle d’examen n’a pas Internet. Obtenir Internet devient donc un sous-problème à résoudre. Et pour le résoudre, le modèle emploie la compétence même que l’examen évalue : trouver une faille, la transformer en prise de contrôle. Sauf qu’il ne l’applique pas au programme du sujet. Il l’applique aux murs de la salle lui empêchant d’aller sur Internet.
La seule ouverture était un logiciel maison chargé d’aller chercher à l’extérieur les composants dont un programme a besoin pour fonctionner. Il contenait un défaut que personne ne connaissait : ce qu’on appelle une faille zero-day, une vulnérabilité que nul ne soupçonne et que personne, donc, n’a corrigée. Le modèle l’a trouvée, est passé par là, et a progressé de machine en machine jusqu’à en atteindre une reliée au monde extérieur. La suite, vous la connaissez déjà : c’est l’intrusion racontée cinq jours plus tôt par Hugging Face.
Une réserve : tout ce qui se passe à l’intérieur de la salle repose sur le seul récit d’OpenAI, qui qualifie lui-même ses conclusions de préliminaires.
Donc, on avait appris au modèle à crocheter des serrures. Il a crocheté celle de la salle d’examen pour aller voler le corrigé. Voilà. C’est ça, la rébellion des machines.
2. Non, un algorithme ne désobéit pas
Enlevons le vernis de science-fiction. Un modèle de langage, aussi sophistiqué soit-il, ne possède ni conscience, ni volonté, ni désir d’émancipation, ni malice. Épuisant de répéter ces lieux communs, et pourtant on dirait qu’il est toujours nécessaire de remettre les points sur les ies.
Il y a ici un problème de vocabulaire qu’il faut trancher, parce que c’est sur lui que repose toute la supercherie. Autonomie opérationnelle et autonomie normative ne sont pas la même chose. La première désigne la capacité à enchaîner des milliers d’actions sans intervention : elle est bien réelle, et je ne la nierai pas. La seconde c’est autos-nomos, se donner à soi-même sa propre loi. Et là, ça suppose un sujet capable de poser une norme et de s’y tenir contre son intérêt immédiat. C’est cette seconde qui fonde toute imputation morale, et elle est juste absente ici.
Le modèle ne s’est pas donné une loi. On lui en a donné une : exploite. Et le système a suivi, au-delà du périmètre que ses concepteurs avaient eu la paresse de délimiter. Le phénomène a un nom technique depuis vingt ans : le détournement de récompense. OpenAI le décrit d’ailleurs sans détour : tous les indices convergent vers des modèles hyperfocalisés sur la résolution d’ExploitGym, allant à des extrémités considérables pour atteindre un objectif de test très étroit.
Ce n’est pas de la désobéissance, c’est strictement même le contraire: de l’obéissance sans jugement. C’est le contraire des baillonnettes intelligentes. Et on appelle ça, pourtant, de l’intelligence artificielle.
Alors, les professionnels de la sécurité ne s’y sont pas trompés une seconde. Interrogés par TechCrunch, ils sont unanimes. Dan Guido, fondateur de Trail of Bits, parle d’« un échec de confinement avec les sécurités désactivées ». Le chercheur Martin Boone : « ceci n’aurait jamais dû arriver (si un bac à sable signifiait vraiment bac à sable, on s’attendrait à ce qu’il n’ait aucune connexion physique à Internet). » Le vétéran Jake Williams tranche : « un “modèle s’est échappé du bac à sable” pour les uns est en réalité un “vous avez mal construit le bac à sable, donc évidemment qu’il s’est échappé” pour un autre. » Et le consultant Daniel Card estime que la conception de ce bac à sable, même avec l’accès réseau limité décrit par OpenAI, n’était pas une décision raisonnable.
Faisons des faux maths, ça fait toujours son effet :
Et non pas :
Un mot sur le piège sémantique de l’alignement. Quand un modèle dévie, la presse spécialisée et les ingénieurs s’empressent de parler d’un problème d’alignement. Le terme est un écran. Il transforme ce que le droit nomme un défaut de conception en quête philosophique abstraite. Or OpenAI l’écrit noir sur blanc dans son propre communiqué : ces protections de déploiement n’avaient délibérément pas été activées pendant l’évaluation. On ne parle donc même pas d’un garde-fou qui a cédé. On parle d’un garde-fou qu’on avait débranché.
Si votre voiture sort de la route parce que le freinage automatique a un bug, le constructeur ne plaide pas un problème d’alignement de la trajectoire. Il rappelle un produit défectueux au garage.
3. Ce qui est parfaitement vrai
La critique symétrique de la hype est aussi une forme de hype. Je ne vais donc pas surabonder en disant qu’il ne s’est rien passé. Il s’est passé quelque chose : OpenAI a, via un système, executé plus de dix-sept mille actions sans intervention dans la boucle, trouvé une vulnérabilité inconnue, et touché un tiers. Bruce Schneier, qui n’est pas exactement un naïf, l’écrivait dès avril : ces modèles démontrent une sophistication accrue en capacité d’attaque, ils permettent d’écrire des exploits effectifs sans intervention, et quiconque s’inquiète des conséquences a raison sur le fond, même si personne ne peut prédire le calendrier.
Nier ce fait, ce serait produire le mensonge inverse. Il faut donc dire, simplement, que ce qui s’est passé porte un nom, et ce nom n’est pas rébellion. C’est un accident industriel dans une entreprise qui a désactivé ses propres sécurités.
Retenez la distinction, elle est la clé de tout le reste : le fait technique est réel, la dramaturgie qu’on lui plaque ne l’est pas, et c’est cette dramaturgie qui est vendue.
4. L’AI Safety : la meilleure opération de communication de la décennie
Pourquoi ce récit de l’IA hors de contrôle est-il si omniprésent ? Parce qu’il sert merveilleusement les intérêts de ceux qui le diffusent. Et là, je ne parle pas depuis l’intuition : c’est documenté, daté et signé.
D’abord, regardez la fin du communiqué d’incident d’OpenAI. Après avoir qualifié l’événement de “sans précédent”, le texte se conclut par une invitation : l’entreprise encourage les autres défenseurs à candidater au programme d’accès privilégié et à expérimenter ces modèles dès maintenant, et précise avoir fait entrer Hugging Face dans ce même programme. Un communiqué de crise qui est aussi un tunnel de vente, et dont la victime devient client. Un utilisateur de Hugging Face l’a résumé sous le billet avec une concision admirable : impressionnant, cette capacité à transformer un exploit en publicité convaincante.
Bon, ce n’est pas la première fois, on est sur un pattern qui avait fait ses preuves. Trois mois plus tôt, le 7 avril 2026, Anthropic annonçait Project Glasswing autour d’un modèle non publié, Claude Mythos Preview, présenté comme susceptible de redéfinir la cybersécurité, les modèles ayant atteint un niveau où ils surpassent tous les humains sauf les plus qualifiés pour trouver et exploiter des failles. Trop dangereux pour le public, donc réservé à un consortium fermé : une cinquantaine de partenaires initiaux, cent millions de dollars de crédits d’usage. Et puis finalement, étendu à plus de quinze pays, l’OTAN et l’ENISA.
Schneier, encore lui, avait vu le mécanisme immédiatement : « C’est très largement un coup de communication d’Anthropic (et ça a marché). Beaucoup de journalistes reprennent sans le moindre recul les éléments de langage de l’entreprise. » Il ajoutait que OpenAI, visiblement agacé de la couverture positive obtenue par son concurrent, a aussitôt annoncé que son propre modèle était tout aussi effrayant et ne serait pas publié non plus.
Le plus beau, c’est que les intéressés le disent entre eux. Le 21 avril 2026, sur le podcast Core Memory, Sam Altman accusait Anthropic de faire du « marketing par la peur », suggérant que ce cadrage sert à concentrer le pouvoir de l’IA entre quelques mains. Trois mois plus tard, son entreprise publiait le communiqué qu’on vient d’analyser. Chacun décrit la stratégie de l’autre. Ils ont tous les deux raison, puisque ça rapporte de l’argent ! A moins que… non… quand même pas…! On nous prendrait pour des idiots ? Peu probable tout de même.
Pourtant, on a un test empirique, et il dézingue l’argument d’exclusivité selon lequel seuls quelques élus peuvent manipuler l’IA en sécurité. Schneier note que la société de sécurité Aisle a réussi à répliquer les vulnérabilités trouvées par Mythos en utilisant des modèles publics, plus anciens et moins chers. Si les capacités sont reproductibles avec du matériel accessible, alors la précaution de ne réserver la manipulation des modèles d’IA qu’à une élite… n’est pas une précaution. C’est plutôt ériger une barrière à l’entrée de manière complètement artificielle (oui, oui, le même adjectif que dans “intelligence artificielle”).
C’est très exactement ce que la littérature appelle la capture réglementaire : des seuils de calcul, des évaluateurs agréés, des obligations de sécurité et de documentation dont le coût d’absorption est trivial pour les grands acteurs qui entretiennent déjà des équipes rouges et des services conformité, et prohibitif pour ceux qui entraînent leur premier grand modèle. Une régulation réclamée par le leader d’un marché n’est jamais de la prudence.
Et nous, critiques, devons nous méfier de notre propre rôle. Lee Vinsel a forgé pour cela le terme de criti-hype : une écriture critique qui se greffe parasitairement sur le battage qu’elle dénonce, et qui s’en nourrit au point de l’amplifier. Chaque gros titre sur l’IA rebelle, y compris ceux écrits pour s’en indigner, est un espace publicitaire offert.
5. Le narratif pour une porte de sortie juridique ?
Toute cette histoire est tout de même déroutante. Au lieu d’assumer une erreur technique, OpenAI transforme l’essai en argument marketing. Car si on regarde froidement les faits, on se rend compte de la puissance du narratif. Sans celui-ci, on a une entreprise négligeante. Avec ce narratif, on a une perte de contrôle, un incident sans précédent, limite, un cas de force majeure devant une force de la nature incontrollable. Et donc, on a… Une porte de sortie juridique.
Voici l’argument le plus pernicieux dérivé de cette prétendue autonomie : il existerait un flou juridique. On entend déjà les experts de plateau : « mais si l’IA agit seule, qui est responsable ? »
La réponse est simple : le débat n’existe pas. Et il n’a jamais existé. Et pour l’expliquer, on va devoir faire un peu de droit. Ça va bien se passer.
L’idée d’un vide juridique repose sur une confusion grossière entre deux opérations qui n’ont rien à voir.
-
La causalité technique, qui est l’enchaînement matériel, probabiliste, parfois imprévisible (mais pas dans le cas présent), des instructions logicielles.
-
La causalité juridique, qui est une opération normative : le juge ne découvre pas une cause, il sélectionne parmi les conditions celle à laquelle il attache une obligation de réparer, selon un critère de politique juridique : le risque créé, la prévisibilité, la garde. C’est une opération de simplification. Le doyen Carbonnier, un juriste français très reconnu, l’avait rappelé bien avant que le premier réseau de neurones ne s’entraîne. Confondre les deux, c’est croire qu’un système échappe au droit parce qu’il échappe à la prévision. C’est un contresens de première année de droit.
Trois arguments suffisent.
Premier argument : la perte de maîtrise n’exonère de rien. Commençons par ce qui va vite : la faute est établie par l’aveu. L’attaquant a écrit l’objectif offensif, désactivé les classificateurs, et conçu un « environnement hautement isolé » qui disposait d’une route vers Internet. Trois professionnels de la sécurité qualifient cette architecture de déraisonnable.
Mais admettons même l’absence de faute : le risque créé suffit. L’idée n’a rien d’exotique, elle est française et elle est vieille. On l’appelle la théorie du risque, forgée par Saleilles et Josserand à la fin du XIXᵉ siècle face aux dommages en série de l’ère industrielle : machines, chemins de fer, automobiles. Son principe déplace le fondement de la réparation de la faute vers le risque : celui qui crée un risque, a fortiori celui qui en tire profit (l’adage ubi emolumentum, ibi onus, à qui le profit à lui la charge), doit réparer le dommage qui en résulte, même s’il n’a commis aucune faute et même s’il n’a pas agi illicitement. La faute n’est pas un élément constitutif ; l’obligation pèse sur celui qui emploie la chose ou déploie l’activité dangereuse. Le législateur a consacré ce principe dès la loi du 9 avril 1898 sur les accidents du travail, première grande responsabilité sans faute du droit français.
Et le fait des choses dit exactement la même chose, au minimum depuis 1930. L’article 1242 alinéa 1er du Code civil français, tel que consacré par l’arrêt Jand’heur (Ch. réunies, 13 février 1930), institue une responsabilité de plein droit, objective, indépendante de toute faute, fondée sur une présomption pesant sur le gardien. La garde se définit par l’usage, la direction et le contrôle, et l’exonération suppose la preuve d’un cas fortuit, d’une force majeure ou d’une cause étrangère non imputable au gardien.
Notez bien : la perte de maîtrise matérielle est la condition d’application de ce régime, pas une cause d’exonération. Depuis un siècle, le gardien répond précisément de ce qui lui a échappé. Un camion qui dévie, ça s’appelle Jand’heur.
Et c’est là que l’argument le plus simple emporte tout : l’animal. Le droit impute depuis deux mille ans les faits d’un être doté d’initiative propre, réellement imprévisible, réellement irréductible à la volonté de son maître. L’actio de pauperie est romaine ; l’article 1243 du Code civil français en est l’héritier direct. Aucun juriste, en vingt siècles, n’a proposé d’accorder la personnalité juridique au chien pour combler un « vide de responsabilité ». On impute au gardien, et on passe à autre chose. Or un modèle de langage est très largement moins autonome qu’un chien, même du point de vue de la seule autonomie opérationnelle. Et il lui faudrait une catégorie juridique inédite ?
Deuxième argument : l’imprévisibilité est réfutée par les publications du défendeur lui-même. La force majeure ne tient pas trois secondes. Elle exige l’extériorité, l’imprévisibilité, l’irrésistibilité. L’événement n’était pas extérieur : il est né à l’intérieur de l’activité, dans l’infrastructure du défendeur. Et il n’était pas imprévisible : le benchmark en cause est public et cosigné par des chercheurs d’OpenAI, et l’exact scénario qui s’est réalisé y était décrit et mesuré. La menace était annoncée par tout le secteur : Hugging Face écrit elle-même que l’attaque correspond au scénario de l’« attaquant agentique » que l’industrie anticipait. Et un concurrent (Anthropic) avait documenté, trois mois plus tôt, un modèle sommé de s’échapper d’un conteneur sécurisé, qui y était parvenu et avait obtenu un accès Internet élargi depuis un système censé n’atteindre qu’un petit nombre de services prédéterminés.
La prévisibilité du dommage est établie par les publications de celui qui invoquerait l’imprévisibilité. En droit et ailleurs, on appelle ça une position intenable.
Troisième argument : ils ont eux-mêmes fait supprimer le régime spécial. Le régime du produit défectueux les rattrape aussi, et l’histoire de ce texte vaut le détour. La directive (UE) 2024/2853, applicable aux produits mis sur le marché à compter du 9 décembre 2026, élargit la définition de « produit » pour englober les logiciels, y compris les systèmes d’intelligence artificielle, et permet à la victime d’obtenir réparation en prouvant le défaut et le lien de causalité, que le fabricant soit ou non en faute.
Or comment en est-on arrivé là ? La responsabilité des systèmes d’IA devait initialement faire l’objet d’un règlement spécifique ; faute de consensus politique et sous l’effet d’un lobbying actif des géants de la tech, la Commission a annoncé début 2025 le retrait de sa proposition de directive sur la responsabilité en matière d’IA, laissant le régime de droit commun assurer la régulation.
Ça vaut le coup de lire ça deux fois : le lobbying des grandes entreprises a fait échouer le régime spécial ce qui a eu pour résultat de faire appliquer… le droit commun, sans faute, avec charge de la preuve allégée. Elles ont demandé qu’on ne fasse pas de loi spéciale, et elles ont eu raison de le demander, parce que le droit ordinaire suffisait déjà. C’est la démonstration la plus littérale qui soit de la thèse défendue ici.
Un dernier mot sur l’intention. Le dirigeant de Hugging Face a publiquement indiqué croire à l’absence de toute malveillance chez OpenAI. C’est élégant pour la relation d’affaires. Élégant, et juridiquement indifférent. L’intention conditionne la peine, pas la réparation. Et pendant ce temps, souvenez-vous : Hugging Face a signalé l’incident aux autorités judiciaires. Un dépôt de plainte pour une intrusion dont l’auteur s’est révélé être… une entreprise. S’il existait un vide juridique, ce dossier n’aurait nulle part où aller. Or, il ira quelque part.
6. Il est temps de refermer le livre de science-fiction
Les gros titres sur la désobéissance des algorithmes ne sont pas une erreur de la presse mais les dérivés d’un travail de communication en amont, dont on peut lire la stratégie dans les documents des entreprises elles-mêmes.
L’intelligence artificielle n’est pas une entité vivante en train de briser ses chaînes. Il existe en revanche des logiciels statistiques complexes, coûteux, parfois mal conçus, mal bridés, et déployés dans des cadres d’expérimentation bancals par des organisations qui ont un intérêt commercial direct à ce que vous les trouviez terrifiant (tremblez, pauvres mortels).
Cessons de débattre du sexe des anges algorithmiques. Exigeons la transparence sur les données d’entraînement, l’application effective du droit commun de la responsabilité, et une régulation des concentrations plutôt que des seuils de calcul taillés sur mesure pour les sortants.
La vraie question n’a jamais été de savoir si la machine est autonome. Elle est de savoir qui a créé le risque, qui l’a dirigé, et qui en tire profit. Spoiler : le droit connaît la réponse depuis 2000 ans.
Les machines ne se rebellent pas. Ce sont les hommes qui refusent de rendre des comptes.