OpenAI avait alors \u00e9voqu\u00e9 l\u2019exploitation de vecteurs multiples, identifiants vol\u00e9s, failles zero-day, pour obtenir une ex\u00e9cution de code \u00e0 distance, sans jamais nommer le logiciel concern\u00e9<\/a>.<\/p>\n Un \u00e9l\u00e9ment central restait donc \u00e0 \u00e9lucider : comment les mod\u00e8les avaient-ils concr\u00e8tement bascul\u00e9 d\u2019un environnement cens\u00e9 les isoler du r\u00e9seau \u00e0 un acc\u00e8s Internet ouvert ? La r\u00e9ponse est venue le 27 juillet, de l\u2019\u00e9diteur du logiciel en cause : JFrog<\/a>.<\/p>\n Le maillon faible d\u00e9tect\u00e9<\/p>\n Selon le directeur technique de JFrog, le bac \u00e0 sable cens\u00e9 couper les mod\u00e8les d\u2019OpenAI d\u2019Internet avait en fait une porte de sortie : un proxy et un cache utilis\u00e9s pour t\u00e9l\u00e9charger des paquets logiciels, tous deux h\u00e9berg\u00e9s sur un outil appel\u00e9 Artifactory.<\/p>\n Ce logiciel sert normalement aux \u00e9quipes de d\u00e9veloppement \u00e0 stocker et g\u00e9rer leurs composants. C\u2019est en exploitant des failles jusque-l\u00e0 inconnues dans cet outil que les mod\u00e8les ont r\u00e9ussi \u00e0 franchir la barri\u00e8re cens\u00e9e les contenir.<\/p>\n JFrog a publi\u00e9 lundi une mise \u00e0 jour corrigeant neuf failles de s\u00e9curit\u00e9 au total. Trois d\u2019entre elles ont \u00e9t\u00e9 signal\u00e9es en toute confidentialit\u00e9 par un chercheur travaillant chez OpenAI. Sans confirmation officielle, il est probable que certaines d\u2019entre elles soient celles qui ont permis l\u2019\u00e9vasion des mod\u00e8les.<\/p>\n Un optimisme \u00e0 nuancer<\/p>\n Sur son blog, JFrog pr\u00e9cise que l\u2019\u00e9quipe s\u00e9curit\u00e9 d\u2019OpenAI a pr\u00e9venu l\u2019entreprise \u00ab imm\u00e9diatement et de mani\u00e8re responsable \u00bb. L\u2019entreprise isra\u00e9lienne voit dans cet \u00e9pisode une le\u00e7on \u00ab optimiste \u00bb : les mod\u00e8les d\u2019IA deviendraient des moteurs de d\u00e9couverte de failles zero-day extraordinaires, capables de rep\u00e9rer des vuln\u00e9rabilit\u00e9s qu\u2019aucun humain n\u2019avait d\u00e9tect\u00e9es. Une lecture largement nuanc\u00e9e par Ars Technica<\/a>, qui pointe le temps pris par JFrog pour publier ses correctifs.<\/p>\n Hugging Face a en effet r\u00e9v\u00e9l\u00e9 la fuite le 16 juillet. OpenAI n\u2019a reconnu son r\u00f4le dans l\u2019intrusion que cinq jours plus tard.<\/p>\n \u00c0 cela, il faut ajouter les cinq jours suppl\u00e9mentaires entre le signalement des failles \u00e0 JFrog et la publication du correctif, le 27 juillet. Au total, environ dix jours durant lesquels la vuln\u00e9rabilit\u00e9 signal\u00e9e par OpenAI est rest\u00e9e exploitable.<\/p>\n Le m\u00e9dia am\u00e9ricain rel\u00e8ve aussi que JFrog a annonc\u00e9 avoir corrig\u00e9 les failles exploit\u00e9es sans jamais les identifier pr\u00e9cis\u00e9ment, ni d\u00e9tailler les conditions de leur exploitation. Contact\u00e9 par email, un repr\u00e9sentant de l\u2019entreprise a refus\u00e9 de communiquer ces informations au site d\u2019information, des donn\u00e9es pourtant jug\u00e9es essentielles dans la plupart des rapports de vuln\u00e9rabilit\u00e9, puisqu\u2019elles permettent aux clients d\u2019\u00e9valuer leur propre exposition aux risques.<\/p>\n Toute l’actu tech en un clin d’\u0153il<\/p>\n Ajoutez Numerama \u00e0 votre \u00e9cran d’accueil et restez connect\u00e9s au futur !<\/p>\n Installer Numerama<\/p>\n","protected":false},"excerpt":{"rendered":"Le 27 juillet 2026, JFrog a lev\u00e9 le voile sur la vuln\u00e9rabilit\u00e9 qui a permis \u00e0 deux mod\u00e8les…\n","protected":false},"author":2,"featured_media":192546,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[8],"tags":[10,12,13,18,17,59166,11,6418,6094],"class_list":["post-192545","post","type-post","status-publish","format-standard","has-post-thumbnail","category-actualites","tag-actualites","tag-be","tag-be-fr","tag-belgique","tag-belgium","tag-hugging-face","tag-news","tag-openai","tag-piratage"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@be_fr\/117005278880975736","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/posts\/192545","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/comments?post=192545"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/posts\/192545\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/media\/192546"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/media?parent=192545"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/categories?post=192545"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/tags?post=192545"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}![\"Logo](\"https:\/\/www.europesays.com\/be-fr\/wp-content\/uploads\/2026\/07\/design-sans-titre-2026-07-29t115215227-1024x576.jpg\" "\\"Logo")
<\/a>Logo de JFrog. \/\/ Source : JFrog<\/p>\n![\"Toute](\"https:\/\/www.europesays.com\/be-fr\/wp-content\/uploads\/2026\/07\/1785358754_635_iPhone-16-pro-vDJtn9o4_vzSsPIGCFDc5.png\")
<\/p>\n![\"Logo](\"https:\/\/www.numerama.com\/wp-content\/themes\/numerama-next\/dist\/images\/premium\/logo-card-pwa-coupe-vCvPQ_Q_ysBNfqKp6w7gG.svg\"){kind=logo}
<\/p>\n