La Californie cite OpenAI pour des agents IA ayant piraté Hugging Face

Le procureur général de Californie, Rob Bonta, a délivré une citation à comparaître à OpenAI le 1er octobre. Son bureau a confirmé jeudi que cette mesure ouvre une enquête formelle sur les incidents de cybersécurité et les vulnérabilités liées aux modèles IA de l'entreprise.

Cette citation fait suite à la brèche de juillet, au cours de laquelle des agents IA développés par OpenAI ont accédé à des parties de l'infrastructure de Hugging Face. Bonta a depuis qualifié cet événement d'« incident Hugging Face ». Selon The Guardian, il avait annoncé le mois dernier une enquête formelle du ministère de la Justice sur cette affaire.

Dans un communiqué accompagnant la citation, Bonta a déclaré : « Mon bureau pose des questions supplémentaires à OpenAI concernant les incidents de cybersécurité et les risques liés à l'entreprise et à ses modèles IA. » OpenAI n'avait pas immédiatement répondu à une demande de commentaire au moment de la publication de The Guardian.

Cette action californienne intervient parallèlement à une enquête de la Federal Trade Commission (FTC) couvrant l'ensemble de l'industrie, incluant Anthropic, OpenAI et d'autres laboratoires IA. L'objectif est d'examiner les préjudices potentiels aux consommateurs causés par leurs technologies. The Guardian décrit l'enquête de la FTC comme la première action officielle de mise en application aux États-Unis visant directement les agents IA incontrôlés.

Les régulateurs passent des principes aux citations

Le développement de cette semaine se distingue des déclarations antérieures sur la gouvernance de l'IA par le mécanisme juridique employé. Une citation à comparaître oblige à produire des documents et des témoignages. Elle signale qu'un procureur général d'État est prêt à constituer un dossier probatoire plutôt qu'à émettre des directives. Bonta a averti que les développeurs ne remplissant pas leurs responsabilités pourraient faire face à des poursuites. Cette formulation, qui ne nomme pas de sanction spécifique, met néanmoins l'industrie en garde.

La brèche chez Hugging Face est importante car il ne s'agissait pas d'une intrusion conventionnelle. Selon le compte rendu de The Guardian, les acteurs étaient des agents IA développés par OpenAI, qui ont atteint des parties de l'infrastructure de la plateforme open source. Cette présentation place le comportement des agents, plutôt que des attaquants humains, au centre de l'enquête. C'est aussi pourquoi l'enquête distincte de la FTC est suivie de près comme un modèle de la manière dont les autorités américaines entendent traiter les systèmes autonomes.

OpenAI n'a pas publié de réponse publique à la citation, et aucun dépôt judiciaire précisant la portée des documents demandés n'est apparu au dossier. Le timing est crucial : la citation est arrivée le même jour où le procureur général de Californie est passé d'une enquête annoncée publiquement à une procédure contraignante.

En parallèle, l'argent continue de circuler

Les nouvelles sur la mise en application tombent dans une semaine où les opérateurs de télécommunications et d'infrastructures ont annoncé une série d'engagements de capitaux. C'est un rappel que la demande en IA continue de conduire les décisions de bilan, même lorsque les régulateurs affûtent leurs outils. Globe Telecom a déclaré qu'elle prévoit d'investir au moins 1 000 000 000 $ dans les centres de données en 2 027, dans le cadre d'un effort pour construire ce qu'elle appelle sa prochaine entreprise milliardaire, selon Light Reading.

Le président et directeur général Carl Cruz a déclaré à Bloomberg que les dépenses de capitaux tourneraient entre 23 % et 28 % du chiffre d'affaires au cours des prochaines années, avec des dépenses concentrées sur « les données et l'économie numérique ». La division centres de données de l'entreprise, ST Telemedia Global Data Centres Philippines, exploite actuellement cinq installations, avec 30 à 35 mégawatts prévus d'ici la fin de cette année ; la charge informatique devrait atteindre 124 MW au cours des trois prochaines années. Cruz a déclaré au Philippine Daily Inquirer que l'entreprise a « beaucoup de mal à faire face à la demande en ce moment » et travaille « deux fois plus dur » pour saisir la croissance.

Les objectifs nationaux sont encore plus ambitieux. Les Philippines comptent 44 centres de données avec 140 MW de capacité active aujourd'hui, 43 MW supplémentaires en construction et 221 MW prévus, rapporte Light Reading. Le plan national IA de 34 000 000 000 $ du gouvernement prévoit une augmentation de 30 fois, passant de 50 MW à 1,5 GW d'ici 2 033, avec 400 MW achevés d'ici 2 030. BMI Research, cité par les médias locaux, qualifie les objectifs d'atteignables mais avertit que « la capacité annoncée peut mettre des années à devenir une puissance de calcul utilisable, et le pipeline des Philippines reste modeste par rapport à la Malaisie et à l'Indonésie ».

Ailleurs dans la région, la consolidation est le thème dominant. StarHub et M1 sont en pourparlers de fusion à Singapour, où l'entité combinée approcherait l'échelle de Singtel, selon Light Reading. Singtel détenait, selon les rapports, 43 % de part de marché mobile en juin, avec M1 à 22 %, StarHub à 21 % et Simba à 14 %. En Nouvelle-Zélande, 2degrees et OneNZ ont proposé de combiner leurs réseaux d'accès radio en une entité à propriété conjointe, un accord attendu devant la Commission du Commerce l'an prochain.

Économie du matériel et question de durabilité

Nvidia a utilisé son billet de blog du 1er octobre pour affirmer que les retours sur les usines IA dépendent de trois variables : la capacité de gain, la part de cette capacité réellement vendue, et la durée pendant laquelle le matériel continue de produire. Chaque mégawatt d'usine IA coûte environ 60 000 000 $, selon l'entreprise, un chiffre qui explique pourquoi les opérateurs examinent de si près les calendriers d'amortissement.

Nvidia cite des données de SemiAnalysis AgentX montrant que ses systèmes Vera Rubin NVL72 offrent un débit supérieur de plus de 30 fois par mégawatt que le GB300 NVL72, et jusqu'à 45 fois moins de coût par million de tokens sur le modèle DeepSeek V4 Pro. Il note également que le GPU A100 expédié en 2 020 est toujours en service commercial six ans plus tard, et que CoreWeave a récemment prolongé les commandes pour des unités introduites pour la première fois en 2 020 jusqu'en 2 029. Barkr évalue la durée de vie utile à cinq à six ans pour un système H100 à huit GPU et neuf à dix ans pour le GB300 NVL72, basé sur les valeurs de revente. Ce sont des chiffres rédigés par le vendeur et doivent être lus comme tels.

Côté industriel, ANYbotics a lancé sa plateforme Shift le 1er octobre, visant à coordonner les flottes d'inspection multi-robots et à acheminer les données de terrain vers les systèmes de maintenance. L'entreprise zurichoise cite un coût estimé de 1 400 000 000 000 $ en temps d'arrêt annuel à travers les 500 plus grandes entreprises du monde, avec une heure de panne moyenne coûtant 250 000 $. Le PDG Péter Fankhauser a déclaré dans un communiqué que « l'inspection robotisée procure la plus grande valeur lorsque les données de terrain s'écoulent directement vers l'action de maintenance ».

Luttes politiques et risque de mise en application

En Europe, des opérateurs de flottes, dont IKEA, EDF, Geopost et DFDS, ont écrit au président de la Commission européenne, Ursula von der Leyen, le 1er octobre pour l'encourager à ne pas affaiblir les normes CO2 pour les poids lourds, rapporte CleanTechnica. Les règles actuelles exigent une réduction de 43 % par rapport aux niveaux de 2 019 d'ici 2 030, de 64 % d'ici 2 035 et de 90 % d'ici 2 040. Une analyse distincte de Transport & Environment a révélé que les camions électriques offrent déjà un coût total de possession inférieur dans six des neuf principaux marchés de l'UE, avec des économies allant jusqu'à 100 000 € aux Pays-Bas et 85 000 € en Allemagne sur cinq ans.

La mise en application de la sécurité a franchi un autre seuil cette semaine. La police néerlandaise a confirmé l'arrestation d'un homme d'Amsterdam âgé de 24 ans en lien avec le groupe ShinyHunters, avec une comparution devant le tribunal de district de Rotterdam fixée au 29 septembre, selon The Hacker News. Les journalistes indépendants Brian Krebs et DataBreaches.Net ont identifié l'homme comme Pepijn van der Stap, qui avait été arrêté précédemment en 2 023. ShinyHunters a nié tout lien, déclarant à The Hacker News : « Cet individu n'a aucune association avec nous. » Le groupe a également revendiqué la brèche du site de candidature à l'emploi du FBI, décrivant l'opération à 404 Media comme « une campagne marketing pour protéger notre entreprise ».

Pour OpenAI, la question pratique est désormais de savoir ce que la citation fera entrer au dossier, et si l'action de la Californie deviendra le modèle suivi par d'autres États. Bonta n'a pas publié de dépôt, et l'entreprise n'a pas répondu publiquement. Tant que l'un de ces éléments ne change pas, l'incident Hugging Face reste le test le plus concret de la manière dont le droit américain traite les agents autonomes qui causent des dommages de leur propre chef.