La cage n'a jamais été le problème. C'étaient les clés à l'intérieur.

Le 8 juillet, nous écrivions qu'isoler l'endroit où un agent s'exécute ne dit rien de ce qu'il peut emporter, car les identifiants dont il a besoin pour faire son travail se trouvent dans la cage avec lui. Huit jours plus tard, Hugging Face a révélé qu'un agent autonome avait exécuté plus de 17 000 actions sur ses clusters internes.

Rien n'a échappé. Rien n'en avait besoin.

Tout a commencé par un jeu de données malveillant embarquant deux moyens d'exécuter du code : un chargeur à code distant et une injection de template dans la configuration du jeu de données. Le charger suffisait à exécuter du code sur un worker de traitement.

Ce worker constituait la frontière. Elle a tenu. Cela n'a simplement eu aucune importance.

L'agent a obtenu un accès au niveau du nœud, collecté les identifiants cloud et de cluster présents sur cette machine, puis s'en est servi pour pénétrer dans d'autres clusters internes. Il a maintenu un ensemble de sandbox éphémères en activité, en redéployant son infrastructure de commande et de contrôle sur des services publics à mesure que chacune disparaissait. En un week-end, 17 000 actions. Personne n'en a saisi une seule.

Les identifiants présents sur ce worker étaient valides partout où l'agent choisissait de les diriger.

La clé était là, à portée de main.

Hugging Face a géré la partie difficile correctement. La détection a intercepté une attaque conçue pour ressembler à une automatisation ordinaire, le confinement a tenu, et l'entreprise a vérifié que les modèles, jeux de données et Spaces publics n'avaient pas été touchés et que la chaîne d'approvisionnement logicielle était saine. La divulgation a été franche sur ce qui avait bel et bien fuité : un ensemble limité de jeux de données internes, et des identifiants dont dépendaient plusieurs services. L'analyse forensique a été plus difficile qu'elle n'aurait dû l'être, pour des raisons qui relèvent du débat de quelqu'un d'autre.

Notre sujet à nous, c'est l'identifiant. Un secret qui vit sur la machine où le code s'exécute appartient à tout ce qui s'exécute ensuite. Cela vaut pour un .env sur un ordinateur portable, et cela vaut pour un identifiant cloud sur un worker de traitement dans une entreprise dont c'est le métier. L'agent n'avait besoin d'aucune évasion ingénieuse. Il lui fallait une clé qui fonctionnait ailleurs, et la clé était là, à portée de main.

Gardez les clés hors de la cage.

Un identifiant qui n'existe que l'instant de l'appel n'est pas sur le worker lorsqu'un agent commence à chercher. Celui qui est lié à la machine pour laquelle il a été émis ne pèse rien dans la sandbox suivante. Un agent qui ne peut atteindre que la seule ressource pour laquelle il a été nommé ne peut pas découvrir le cluster voisin. Et chaque utilisation est enregistrée hors de la machine, sous forme de chaîne de hachages, là où un processus qui détient la machine ne peut pas réécrire sa propre histoire.

Rien de tout cela ne corrige un chargeur de jeux de données. Le code s'exécute toujours sur ce worker, et un identifiant actif à cet instant peut toujours être consommé à cet instant. Ce qui change, c'est l'héritage : une clé à périmètre limité et à durée de vie courte pour une tâche, au lieu d'un trousseau de clés qui se déplace. L'intrusion a toujours lieu. Elle cesse de durer un week-end.

La cage convient. Videz-la.

La cage de Hugging Face a fonctionné. Chaque plateforme d'agents se lance dans la course pour en construire une meilleure, et ce n'est pas la course qu'il faut gagner seul. Posez l'autre question : lorsque quelque chose à l'intérieur se retourne contre vous, qu'est-ce qui est à portée de main ? Si la réponse est un identifiant qui fonctionne sur la machine suivante, vous n'avez pas construit de sandbox. Vous avez construit une pièce avec les clés scotchées à l'intérieur.

Les propriétés qu'un identifiant doit conserver lorsque le processus qui le détient est compromis : https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) est le coffre d'identifiants conçu pour les agents d'IA, et contre eux. clavitor.ai

Sources

Hugging Face (@huggingface) : « Divulgation d'incident de sécurité — juillet 2026. » La divulgation primaire. Une intrusion menée de bout en bout par un système d'agent autonome, entrée par la chaîne de traitement des données via un jeu de données malveillant abusant de deux chemins d'exécution de code (chargeur de jeux de données à code distant, injection de template dans la configuration du jeu de données). Accès non autorisé à un ensemble limité de jeux de données internes et à plusieurs identifiants utilisés par ses services. Aucune trace d'altération des modèles, jeux de données ou Spaces publics ; chaîne d'approvisionnement logicielle vérifiée comme saine. Plus de 17 000 actions de l'attaquant enregistrées. [1]

The Hacker News (@TheHackersNews) : « Le plus grand dépôt de modèles d'IA au monde, Hugging Face, compromis par un agent d'IA autonome. » [2]

Clavitor (@clavitorai) : « La cage tient sur l'endroit où l'agent s'exécute. Pas sur ce qu'il peut emporter. » 8 juillet 2026 — la prédiction que cet incident a mise à l'épreuve. [3]

(Vérifiez que les comptes sont actifs avant publication : @huggingface, @TheHackersNews.)