Un faux dépôt OpenAI sur Hugging Face a été utilisé cette semaine pour distribuer un infostealer aux développeurs venus chercher du code modèle. L’incident, révélé par BleepingComputer le 9 mai 2026, n’est pas isolé : il prolonge la séquence des compromissions supply chain IA qui frappent les hubs de modèles depuis fin 2025. Pour les PME-ETI qui consomment des poids open source au quotidien, le diagnostic est sévère : la dépendance aux hubs publics est devenue une dette de sécurité, et les contrôles classiques (antivirus, EDR, hash de fichier) ne couvrent pas le périmètre.
Pourquoi un faux dépôt Hugging Face est plus dangereux qu’un paquet npm piégé
Le réflexe « supply chain IA = npm avec stéroïdes » est trompeur. Un dépôt Hugging Face piégé apporte trois aggravants spécifiques :
- L’autorité de marque comme vecteur : un nom proche de openai/ ou anthropic/ suffit à neutraliser la vigilance d’un développeur pressé. Hugging Face n’a pas de mécanisme de réservation de namespace équivalent à celui d’un registre logiciel mature.
- L’exécution avant l’inspection : la majorité des fichiers .bin, .safetensors ou scripts d’inférence sont chargés en mémoire dans un environnement déjà privilégié (CUDA, cloud, accès aux clés API). L’infostealer récolte tokens et variables d’environnement avant qu’un seul prompt n’ait été envoyé.
- Le pivot vers les comptes IA : la cible privilégiée n’est plus le poste local, mais les clés OpenAI, Anthropic, Hugging Face et les jetons CI qui financent l’usage d’API. Le coût d’un compte vidé peut atteindre plusieurs dizaines de milliers d’euros en quelques heures.
Une tendance lourde : trois compromissions en une semaine
L’épisode du faux dépôt OpenAI s’inscrit dans un cluster d’incidents plus large que la veille cyber des PME-ETI doit prendre en compte :
- JDownloader : site officiel piraté pour remplacer les installateurs par un RAT Python (BleepingComputer, 9 mai 2026). Modèle de compromission identique à l’attaque DAEMON Tools de fin avril.
- Quasar Linux RAT (QLNX) : nouvelle variante fileless visant explicitement les credentials développeur pour la supply chain (The Hacker News, 8 mai 2026).
- Faux dépôt OpenAI sur Hugging Face : infostealer livré sous bannière de marque IA (BleepingComputer, 9 mai 2026).
La leçon est claire : les attaquants ne ciblent plus la machine, ils ciblent la chaîne d’approvisionnement de l’intelligence — modèles, dépendances, plugins d’IDE, registres de modèles. Pour une PME qui prototype avec Hugging Face le matin et déploie sur OpenAI l’après-midi, l’angle d’attaque est continu.
Cinq décisions de gouvernance à prendre cette semaine
L’infostealer Hugging Face et ses cousins ne se neutralisent pas par un patch. Ils exigent une posture de gouvernance que la plupart des PME-ETI n’ont pas encore formalisée :
- Allowlist nommée : limiter explicitement les organisations Hugging Face autorisées (openai, anthropic, meta-llama, mistralai…) et bloquer le reste au niveau du proxy ou du firewall sortant. Le coût opérationnel est faible, le gain immédiat.
- Vérification de signature : exiger que tout modèle téléchargé ait un commit signé GPG du mainteneur officiel. Hugging Face publie les empreintes — encore faut-il les contrôler avant l’usage.
- Sandbox d’inférence : ne jamais exécuter un modèle nouvellement téléchargé dans un environnement disposant de clés API en clair. Un conteneur jetable sans variables d’environnement suffit pour le premier essai.
- Rotation systématique post-incident : si un dépôt suspect a été cloné, considérer toutes les clés API présentes sur la machine comme compromises. Braintrust (mai 2026) a fait la démonstration que la rotation tardive coûte plus cher qu’une rotation préventive.
- Détection comportementale côté EDR : un poste de développement qui contacte Discord, Telegram ou un domaine inconnu après avoir lancé pip install ou git clone doit déclencher une alerte. C’est le seul signal exploitable en temps réel.
Pourquoi cela change la cartographie de risque PME-ETI
La supply chain IA n’est pas un sous-domaine de la cybersécurité : elle redéfinit ce qu’est un actif. Hier, on protégeait un serveur, un poste, une base. Aujourd’hui, on protège un réseau de confiance qui inclut Hugging Face, GitHub, npm, OpenVSX, les registres de plugins MCP et les dépôts Docker. Chaque maillon est un point d’entrée potentiel pour un infostealer.
Pour aller plus loin, ucyber.ai a déjà décortiqué deux affaires structurantes du même registre : la compromission PyTorch Lightning et la supply chain IA et le subliminal learning comme menace cachée. La cohérence est nette : la confiance dans les hubs IA doit s’appuyer sur des contrôles, pas sur des présomptions.
La conclusion pour les dirigeants de PME-ETI : intégrer dès maintenant la chaîne d’approvisionnement IA au plan de continuité, au monitoring EDR et à la gouvernance des accès. Le faux dépôt OpenAI de cette semaine n’est pas un cas isolé — c’est la nouvelle norme.
Sources
- BleepingComputer — Fake OpenAI repository on Hugging Face pushes infostealer malware
- BleepingComputer — JDownloader site hacked to replace installers with Python RAT malware
- The Hacker News — Quasar Linux RAT steals developer credentials
- SecurityWeek — Braintrust prompts API key rotation after breach