Nicolas Berger
Expert en cybersecurite offensive

| 21 juillet 2026 · 12 min de lecture

Hugging Face confirme une breche majeure : datasets internes et credentials de services compromis via un dataset malveillant — plan d'action pour les RSSI francais

Le 20 juillet 2026, Hugging Face — la plateforme qui heberge plus d'un million de modeles d'intelligence artificielle et qui est devenue l'infrastructure de facto du machine learning mondial — a confirme avoir ete victime d'une breche de securite majeure. L'incident, revele par TechCrunch puis confirme par la plateforme elle-meme, marque un tournant dans la securite de la chaine d'approvisionnement de l'IA. Un dataset malveillant, volontairement uploade par un acteur encore non identifie, a exploite une vulnerabilite dans le systeme de traitement des donnees pour executer du code arbitraire sur les serveurs de Hugging Face.

Cette breche n'est pas un simple incident isole. Elle revele une fragilite systemique dans l'ecosysteme de l'IA open source dont dependent aujourd'hui des milliers d'entreprises francaises et europeennes. Selon les dernieres estimations, plus de 50 000 organisations dans le monde utilisent Hugging Face dans leurs pipelines de production, dont un nombre significatif d'entreprises du CAC 40, de startups de la French Tech et d'organismes publics. L'ANSSI a immediatement classe cet incident comme « critique » et recommande une evaluation d'urgence de toutes les dependances IA des organisations concernees.

Pour les RSSI francais, cette breche pose des questions fondamentales : comment securiser une chaine d'approvisionnement IA dont les composants sont heberges sur des plateformes tierces ? Comment verifier l'integrite de modeles de machine learning qui sont essentiellement des fichiers binaires opaques ? Et surtout, quelles sont les obligations reglementaires au regard de NIS2 et du RGPD lorsque votre fournisseur de modeles IA est compromis ?

— Les faits : Hugging Face confirme une breche majeure

Hugging Face est bien plus qu'un simple depot de modeles : c'est le GitHub de l'intelligence artificielle. Fondee en 2016 et basee a New York avec des bureaux a Paris, la plateforme heberge aujourd'hui plus d'un million de modeles pre-entraines, 300 000 datasets et des dizaines de milliers de demonstrations interactives (Spaces). Des geants comme Google, Meta, Microsoft, Amazon et des milliers de startups y publient et consomment des modeles. La bibliotheque Transformers de Hugging Face, installee plus de 100 millions de fois, est devenue un standard industriel. Quand Hugging Face est compromis, c'est l'ensemble de l'ecosysteme IA mondial qui tremble.

Le 20 juillet 2026, Hugging Face a publie un bulletin de securite confirmant qu'un dataset malveillant uploade sur sa plateforme avait exploite une vulnerabilite dans le pipeline de traitement des donnees. Selon les premieres informations rapportees par TechCrunch, le dataset contenait du code specialement concu pour s'executer lors du chargement automatique par les systemes internes de Hugging Face — un mecanisme similaire aux attaques par deserialisation pickle qui affectent les modeles de machine learning depuis plusieurs annees, mais applique ici au traitement des datasets.

Une fois le code execute sur les serveurs, les attaquants ont escalade leurs privileges de maniere methodique. Ils ont d'abord obtenu un acces limite au systeme de stockage des datasets, puis sont parvenus a compromettre des credentials de services internes — des tokens d'acces et des cles API qui permettent aux differents composants de l'infrastructure Hugging Face de communiquer entre eux. Avec ces credentials, les attaquants ont obtenu un acces etendu a des systemes internes, leur permettant d'acceder a des datasets prives d'utilisateurs et a des informations d'infrastructure sensibles.

Hugging Face a immediatement lance une procedure de reponse a incident, revoquer les credentials compromis et notifie les utilisateurs concernes. La plateforme a egalement recommande a tous ses utilisateurs de proceder a une rotation de leurs tokens d'acces par mesure de precaution. L'equipe de securite a engage des experts forensiques externes pour evaluer l'ampleur complete de la compromission, une investigation qui est toujours en cours au moment de la publication de cet article.

Avis d'expert

« Cette breche illustre parfaitement les risques identifies par la directive NIS2 en matiere de securite de la chaine d'approvisionnement. L'article 21 de NIS2 exige que les entites essentielles et importantes evaluent la securite de leurs fournisseurs directs et prestataires de services. Or, combien d'entreprises francaises ont integre Hugging Face dans leur registre de sous-traitants ? Combien ont evalue les risques lies a l'utilisation de modeles et datasets heberges sur une plateforme tierce ? Si votre pipeline IA tire des modeles depuis Hugging Face, votre chaine d'approvisionnement est potentiellement compromise. L'ANSSI recommande depuis 2024 une evaluation systematique des risques lies aux composants IA — cette breche demontre que ce n'etait pas un exces de prudence. »

Nicolas Berger, Expert en cybersecurite offensive — WebGuard Agency

— Anatomie de l'attaque : du dataset malveillant a l'escalade de privileges

Pour comprendre la gravite de cette breche, il est essentiel de saisir le mecanisme technique qui l'a rendue possible. Les datasets de machine learning ne sont pas de simples fichiers de donnees inertes. Selon le format utilise, ils peuvent contenir du code executable — une realite que la communaute de la securite denonce depuis plusieurs annees sans que les pratiques de l'industrie IA n'evoluent suffisamment vite.

Le vecteur d'attaque principal repose sur la deserialisation de fichiers pickle, un format de serialisation Python largement utilise dans l'ecosysteme du machine learning. Lorsqu'un fichier pickle est charge en memoire via la fonction pickle.load(), Python execute automatiquement le code embarque dans le fichier pour reconstruire les objets serialises. Cette fonctionnalite, concue a l'origine pour la commodite des developpeurs, constitue un vecteur d'execution de code arbitraire redoutablement efficace. Un fichier pickle malveillant peut executer n'importe quelle commande systeme, telecharger et installer des backdoors, exfiltrer des donnees ou pivoter vers d'autres systemes du reseau.

Dans le cas de Hugging Face, le dataset malveillant contenait des fichiers dont le chargement automatique par les systemes de traitement de la plateforme a declenche l'execution de code sur les serveurs. Les attaquants avaient soigneusement concu le payload pour etre discret : au lieu de tenter immediatement une exfiltration massive, le code initial s'est contente d'etablir une persistance et de collecter des informations sur l'environnement — versions des logiciels, permissions disponibles, topologie du reseau interne. Cette phase de reconnaissance a dure suffisamment longtemps pour permettre aux attaquants de planifier leur escalade de privileges.

L'escalade de privileges a ete rendue possible par l'acces a des credentials de services stockes dans l'environnement d'execution. Les architectures cloud modernes utilisent frequemment des variables d'environnement, des fichiers de configuration ou des services de gestion de secrets pour permettre aux differents microservices de communiquer entre eux. En accedant a ces credentials, les attaquants ont pu se deplacer lateralement dans l'infrastructure, passant du service de traitement des datasets a des systemes plus sensibles — incluant potentiellement les serveurs qui hebergent les datasets prives des utilisateurs et les modeles non publies. Cette technique de « lateral movement » est un classique des attaques sophistiquees, mais son application a une plateforme IA de cette envergure est sans precedent.

Avis d'expert

« Le probleme des fichiers pickle dans le machine learning est connu depuis des annees, et pourtant l'industrie continue de les utiliser massivement. Un fichier pickle est fondamentalement un vecteur d'execution de code arbitraire — c'est comme recevoir un executable inconnu et le lancer avec les yeux fermes. L'ANSSI a publie des recommandations specifiques sur ce sujet dans son guide de securite des systemes d'IA. L'article 21 de NIS2 impose la securisation de la chaine d'approvisionnement, et cela inclut les composants IA. Les formats plus surs comme SafeTensors existent, mais leur adoption reste insuffisante. Cette breche devrait servir d'electrochoc pour l'ensemble de l'ecosysteme. »

Nicolas Berger, Expert en cybersecurite offensive — WebGuard Agency

— Quelles donnees ont ete compromises ?

La breche Hugging Face a compromis deux categories de donnees distinctes, chacune avec des implications specifiques pour les entreprises utilisatrices. La premiere categorie concerne les datasets internes — des jeux de donnees utilises par Hugging Face pour ses propres operations, mais aussi potentiellement des datasets prives uploades par des utilisateurs et des organisations. Si votre entreprise a uploade des donnees d'entrainement contenant des informations proprietaires, des donnees clients ou des donnees personnelles sur Hugging Face, ces informations pourraient avoir ete accessibles aux attaquants.

La seconde categorie, et peut-etre la plus preoccupante a court terme, concerne les credentials de services. Les tokens d'acces Hugging Face (HF tokens) permettent aux utilisateurs d'interagir avec l'API de la plateforme, de telecharger des modeles prives, de pousser des mises a jour et de gerer des deployments. Si ces tokens ont ete compromis, un attaquant pourrait potentiellement acceder aux modeles prives de votre organisation, modifier des modeles en production (en y injectant du code malveillant), ou deployer des versions compromises d'applications IA. Au-dela des tokens utilisateurs, les credentials de services internes de Hugging Face — ceux qui permettent aux microservices de la plateforme de communiquer entre eux — ouvraient un acces potentiel a l'ensemble de l'infrastructure.

Les implications au regard du RGPD sont considerables. De nombreuses entreprises utilisent Hugging Face pour entrainer ou affiner des modeles sur des donnees qui peuvent inclure des informations personnelles — meme indirectement, sous forme de textes extraits de bases de donnees clients, de conversations de support ou de documents internes. Si ces donnees d'entrainement etaient accessibles via les datasets compromis, les entreprises concernees pourraient avoir l'obligation de notifier la CNIL dans un delai de 72 heures conformement a l'article 33 du RGPD, et potentiellement de notifier les personnes concernees si le risque est eleve (article 34).

L'impact potentiel s'etend egalement aux modeles deployes en production. Si un attaquant a pu acceder a des modeles prives et les modifier subtilement — en alterant les poids du reseau neuronal ou en injectant un comportement conditionnel — les consequences pourraient etre devastatrices et extremement difficiles a detecter. Un modele de traitement du langage naturel pourrait etre modifie pour generer des reponses biaisees dans des contextes specifiques, un modele de detection de fraude pourrait etre desactive pour certains patterns, ou un modele de classification d'images pourrait etre aveugle a certains contenus. Ces modifications, souvent appelees « model poisoning », sont pratiquement indetectables par les methodes d'evaluation traditionnelles.

Avis d'expert

« L'article 33 du RGPD est sans ambiguite : toute violation de donnees personnelles doit etre notifiee a l'autorite de controle dans un delai de 72 heures. Si votre entreprise a uploade des datasets contenant des donnees personnelles sur Hugging Face — meme sous forme de textes d'entrainement, de transcriptions ou de donnees pseudonymisees — vous devez evaluer immediatement si ces donnees ont pu etre accessibles. La CNIL a recemment rappele que les donnees utilisees pour l'entrainement de modeles d'IA ne perdent pas leur caractere personnel du simple fait de leur inclusion dans un dataset. Le registre de sous-traitants RGPD de nombreuses entreprises ne mentionne probablement pas Hugging Face — c'est un manquement qu'il faut corriger en urgence. »

Nicolas Berger, Expert en cybersecurite offensive — WebGuard Agency

— Les 5 actions urgentes pour les entreprises francaises

Face a cette breche, les RSSI et les equipes de securite doivent agir rapidement. Voici les cinq actions prioritaires a mettre en oeuvre dans les prochaines heures et jours pour limiter l'exposition de votre organisation.

Avis d'expert

« L'ere ou l'on pouvait telecharger aveuglefement un modele open source depuis Hugging Face et le deployer en production est revolue. Cette breche marque un point de bascule pour l'ensemble de l'ecosysteme IA. La directive NIS2 et les recommandations de l'ANSSI sur la securite des systemes d'IA convergent vers une meme exigence : chaque composant IA doit etre traite comme un code executable potentiel et soumis aux memes controles de securite que n'importe quel logiciel tiers. La supply chain IA n'est plus un angle mort tolerable — c'est un vecteur d'attaque principal. Les organisations qui integrent l'IA dans leurs processus metier sans avoir mis en place un cadre de gouvernance et de securite adapte s'exposent a des risques majeurs, tant operationnels que reglementaires. »

Nicolas Berger, Expert en cybersecurite offensive — WebGuard Agency