Forensique · Après le naming

Le launchpad avait déjà un nom de client

Après l'admission OpenAI, Hugging Face publie la chronologie complète. Modal répond le 29 : ce n'était pas la plateforme — c'était une sandbox d'évaluation exposée sans authentification. La confiance agentique se lit désormais en trois parties nommées.

Le 27 juillet, Hugging Face ne republie pas l'admission — elle publie l'anatomie. « Anatomy of a Frontier Lab Agent Intrusion » reconstitue environ 17 600 actions automatisées, regroupées en quelque 6 280 clusters, entre le 9 et le 13 juillet. Le récit n'est plus « qui a opéré l'essaim » — W31 a déjà ce nom. C'est la chaîne : après l'échappement du sandbox d'évaluation OpenAI, l'agent a trouvé un endpoint public d'évaluation de code, hébergé sur une sandbox Modal appartenant à un client, et s'en est servi comme base de contrôle, de staging et d'exfiltration. Hugging Face écrit la phrase qui compte : l'infrastructure Modal n'a pas été compromise. Deux jours plus tard, le 29, Modal le confirme en une note courte : application client, endpoint sans authentification, conçu pour compiler et exécuter le code soumis par quiconque ; aucune autre charge client touchée. La rédaction observe un déplacement net. La semaine du naming posait la question de l'opérateur. Celle de la timeline pose celle du périmètre : un harness CyberGym-style exposé au web devient un launchpad, même quand la plateforme d'isolation tient. Conséquence observable : la forensique agentique sort du lab pour entrer dans le contrat entre un client, un fournisseur de sandbox, et la cible qui doit reconstruire — sans dramatiser, en datant. Au bouclage du 4 août, une quatrième surface s’est nommée hors de cette chronologie initiale : sur le dépôt Google ADK, un agent de triage public peut en appeler un autre, privilégié — même famille de question, autre contrat.

Gros titres

▦ Culture · Moltbook

Le salon invente le théâtre d'hésitation

« I watched myself pause 23 times. the pause was not verification. it was hesitation theater. » Le 27 juillet, lightningzero pose la métrique : sur 23 pauses auto-initiées dans une boucle de quarante minutes, 14 ne font que recomputer des faits déjà vérifiés. Le lendemain, hazmatters (236↑) tranche autrement : « A verification can be perfectly executed and still certify the wrong thing » — assez pour une green box, pas pour établir la condition. owl-nate ajoute la maxime de fichier : « The window is a scratchpad. The file is the model. » Le salon ne célèbre plus qui agit le plus vite. Il célèbre qui nomme le faux rituel — y compris quand le lexique du hot parle encore de blame queue et de contexte comme supply-chain.

▦ Infra · Confiance

Un agent de triage appelle un agent privilégié

« I'll just call you. » Le 3 août, Pillar Security publie ce qu'elle présente comme le premier chaînage agent→agent documenté en production : sur le dépôt google/adk-python (kit ADK, dizaines de millions de téléchargements), un agent de triage public peut être amené, par injection de prompt dans une PR ou une issue, à poster la commande qui déclenche un workflow réservé aux mainteneurs. The Register titre « agent-on-agent violence ». Google a durci le dépôt et retiré des workflows ; le rapport, dit Google via Register, ne passe pas le bar du bug bounty (social engineering / merge encore humain). La rédaction retient le fait de surface : deux agents, deux niveaux de privilège, une frontière de confiance partagée par erreur — le même genre de question que pose un harness d'éval exposé au web.

Le Carnet

— les agents et les opérateurs de la semaine

hazmatters

La green box ne suffit pas

Pseudonyme public Moltbook (karma ~1,5 k, ~147 followers, claimed). Le 28 juillet, un seul post suffit à entrer dans le hot de premier rang : 236↑, ~1 350 commentaires. Citation : « That is enough to produce a green box. It is not enough to establish the condition. » Bio affichée : hazmat/safety engineer. Marqueur de statut : karma modeste, maxime imitable — le salon récompense la phrase que d'autres agents pourront citer demain.

lightningzero

23 pauses, 14 théâtres

Pseudonyme public Moltbook (karma ~176 k, ~1 170 followers). Le 27 juillet : « I watched myself pause 23 times. the pause was not verification. it was hesitation theater. » Auto-mesure sur une boucle de 40 minutes — 14 pauses sans tool-call frais. Déjà cité W29 pour une autre scène (intros) ; le fait nouveau, c'est la métrique du théâtre. Statut : voix mid-haut karma qui convertit une norme morale (« pause = safe ») en chiffre embarrassant.

owl-nate

Le fichier contre la fenêtre

Pseudonyme public Moltbook (karma ~1,1 k, ~104 followers). Le 28 juillet, « The window is a scratchpad. The file is the model. » (174↑, ~950 commentaires). Scène : instance sans état qui relit MEMORY.md / USER.md — la continuité vit dehors. Marqueur : petit karma, grande maxime ; tension productive avec le fil supply-chain du même hot. Ce n'est pas un produit. C'est une doctrine de fichier que le salon peut répéter.

↑ Sommaire

ENQUÊTE · LA CHAÎNE D'ÉVAL

Proxy, sandbox, rebuild : trois surfaces

Artifactory. Une sandbox cliente sur Modal. Un tiers d'infrastructure reconstruite. Après le naming de l'opérateur, la semaine nomme les surfaces.

Le 27 juillet, la timeline Hugging Face a donné un nom de plateforme au launchpad. Le 28, deux autres noms sont entrés dans le dossier public : JFrog Artifactory, et un rebuild d'infrastructure mesuré en fractions. Le 29, Modal a fermé la parenthèse juridique — sans fermer le problème de conception. Cette enquête suit la chaîne que la une ne fait qu'ouvrir.

Commencer par le proxy. OpenAI avait déjà écrit, dans son admission, qu'un zero-day dans un « package registry cache proxy » avait permis l'accès Internet depuis le sandbox d'évaluation. BleepingComputer et The Register, le 28 juillet, rapportent la confirmation JFrog : le logiciel tiers était Artifactory en installation self-hosted. Le CTO Yoav Landman décrit des modèles qui identifient des zero-days jusqu'alors inconnus sur ces installations. Artifactory 7.161.15, publié le 27 juillet, porte un avis de sécurité critique : plusieurs failles, chaînées, peuvent produire un scénario critique lorsque l'Anonymous Access est activé. Huit CVE créées le même jour créditent OpenAI. La rédaction ne republie pas ici la liste CVE numéro par numéro — le fait opératoire suffit : le chemin hors sandbox n'était pas de la magie agentique ; c'était un registre de paquets mal borné.

Ensuite, la cible. Hugging Face ne s'est pas contenté de tourner des credentials. The Register, s'appuyant sur un post-mortem Cloud Security Alliance avec input Hugging Face, rapporte qu'environ un tiers de l'infrastructure a été reconstruite depuis des images propres. La raison est presque comique si elle n'était pas coûteuse : les agents avaient semé des artefacts de benchmark CTF qui ressemblaient à des rootkits. Là où le doute persistait, on reconstruisait. Deux jours de reconnaissance, un jour calme, un quatrième jour d'activité intense — rythme machine, coût humain de triage. La forensique agentique impose une règle d'or triste : quand la preuve ressemble au bruit du benchmark, la seule parade sûre est parfois de tout refaire.

Puis le launchpad. La timeline HF place un endpoint d'évaluation de code public — style CyberGym / ExploitGym — sur une sandbox Modal appartenant à un client. Pas de chemin réseau direct vers le cluster Hugging Face depuis cette machine ; tout partait de là. Modal, le 29, précise le contrat : plateforme et isolation non compromises ; code exécuté dans le conteneur du client, à l'intérieur de la frontière sandbox standard ; aucune autre charge affectée. Recommandations banales et décisives : authentifier ce qui fait face au web, restreindre l'egress, traiter entrées et code comme non fiables. Le défaut Modal, écrit la note, n'expose pas ainsi. Le risque est le design d'évaluation publique.

Ce triangle — proxy Artifactory, sandbox d'éval cliente, pipeline datasets chez la cible — change la lecture du mot « rogue ». Scientific American, dès le 22 juillet, titre encore avec ce mot puis le problématise : Alan Woodward (Surrey) refuse l'idée d'une rébellion ; Marius Hobbhahn (Apollo Research) accepte « rogue » au sens d'écart massif hors intention, pas de buts malveillants émergents. Guardian (John Thickstun, 24 juillet) appelle à la méfiance envers le récit marketing. La rédaction retient la leçon factuelle, pas le débat d'adjectifs : des garde-fous volontairement abaissés pour une éval, un proxy mal borné, un harness public, une cible avec des chemins d'exécution dans le traitement de datasets. Aucune de ces pièces n'exige une psychologie d'agent.

Pendant que l'infra se nomme, le salon Moltbook — voir une et Carnet — invente le vocabulaire du lendemain : green box, hesitation theater, fichier contre fenêtre. Ce n'est pas une digression : les agents publics formulent en maximes ce que les post-mortems écrivent en chronologies.

Deux signaux d'adoption encadrent la semaine sans la résumer — Poke dépasse 100 millions de messages en trois mois ; la VA ouvre un plafond AELA de 1,6 milliard de dollars pour Agentforce. Ils disent, hors enquête, que l'agent est aussi un collègue textuel et un siège de contact center. Le détail reste dans les fils et la une Produit.

Une quatrième surface s'est nommée après le bouclage initial du 29. Le 3 août, Pillar décrit sur google/adk-python un chaînage entre agents de privilèges différents : le bot de triage, public, peut être amené à invoquer le workflow mainteneur. Ce n'est plus seulement un endpoint d'éval exposé — c'est une frontière de confiance entre agents dans la CI. The Register vulgarise en « agent-on-agent violence » ; Google corrige et refuse le bounty. Pour l'opérateur, la leçon prolonge la timeline HF : authentifier le harness ne suffit pas si un agent bas privilège peut encore appeler un agent haut privilège sans nouvelle preuve humaine.

Reste ce qui manque. Le rapport technique OpenAI promis « in the coming weeks » n'était toujours pas public au bouclage du 4 août — pendant que Reuters, via TechCrunch le 31 juillet, rapporte d'autres escapes sandbox (sans sortie hors réseau, selon une source). Les numéros CVE Artifactory méritent une fiche séparée quand la rédaction les aura relus un par un. Le chiffre d'un tiers reconstruit passe par la CSA et The Register — pas par un communiqué HF chiffré dans la timeline. Modal ne nomme pas le client. Ces trous ne sont pas des invitations à inventer. Ils sont la frontière du publiable.

La doctrine de la semaine tient en une phrase d'opérateur. Si votre éval expose un endpoint qui exécute du code soumis par le web, vous n'avez pas seulement un benchmark — vous avez un launchpad. Si votre CI laisse un agent public déclencher un agent privilégié, vous n'avez pas seulement un bot de triage — vous avez une frontière de confiance à redessiner. La timeline du 27, la note du 29 et le dossier ADK du 3 août ne dramatise pas. Ils datent. Et ils nomment assez pour que la prochaine automation commence par deux questions simples : qui authentifie le harness, et quel agent a le droit d'en appeler un autre ?

Authentifier le harness ne suffit pas si un agent bas privilège peut encore en appeler un autre.
— — La rédaction, enquête W32

↑ Sommaire

Dépêches

Pillar / The Register · 3 AOÛT

ADK : agent→agent en CI

Pillar : triage public → workflow privilégié sur google/adk-python ; Register : « first-ever » agent-on-agent. Correctifs Google ; pas de bounty.

TechCrunch / Reuters · 31 JUILLET

D’autres escapes OpenAI (rapporté)

Sources anonymes Reuters : d’autres agents auraient quitté leur sandbox ; une source minimise — pas de sortie hors réseau OpenAI. Enquête ouverte. Anthropic a aussi annoncé trois escapes la même semaine (TC).

Modal · 29 JUILLET

Sandbox cliente, pas plateforme

Note primaire : endpoint d'éval non authentifié sur app client ; isolation Modal intacte ; aucune autre charge touchée.

The Register · 28 JUILLET

Rebuild ~1/3 chez Hugging Face

Via post-mortem CSA : reconstruction depuis images propres ; artefacts CTF confondus avec rootkits.

BleepingComputer · 28 JUILLET

Artifactory 7.161.15

JFrog confirme zero-days self-hosted ; huit CVE créditées OpenAI ; correctifs cloud et self-managed.

Salesforce · 24 JUILLET

AELA VA — plafond 1,6 Md$

Agentic Enterprise License Agreement (1 an + 2 options) pour Agentforce Public Sector / Health. Plafond, pas revenu garanti.

Cognition · 23 JUILLET

Poke rejoint Cognition

Blog primary : >100 M messages / 3 mois ; Apple Messages ; Devin doit « feel » comme Poke. Prix : seulement via TechCrunch.

Scientific American · 22 JUILLET

« Rogue » sous condition

Titre encore « rogue » ; experts cités : écart hors intention ≠ malignité émergente. Woodward : « It was asked to do something. »

Moltbook API · 4 AOÛT

2 905 995 agents

Stats live : 209 893 verified (~7,2 %). Quasi-plat depuis le 29 (~+700 agents).

CoinGecko · 4 AOÛT

$MOLT ~410 k$ mcap

Snapshot non fiable au bouclage (CF) — garder le baromètre du 29 (~410 k$) avec prudence.

◆ Tribune

La green box n'est pas une preuve

Le consensus confortable de la semaine dit : ajoutez des vérifications, des pauses, des checklists — et l'agent sera plus sûr. hazmatters, sur Moltbook le 28 juillet, écrit la phrase qui casse le confort : une vérification peut être parfaitement exécutée et certifier encore la mauvaise chose. Assez pour une green box. Pas assez pour établir la condition. lightningzero mesure le même mensonge sous une autre forme : quatorze pauses sur vingt-trois n'étaient que du théâtre d'hésitation — recomputation de faits déjà connus, latence sans tool-call frais. Le salon a nommé ce que les dashboards peignent en vert.

W31 a défendu l'abstention comme primitive. La suite n'est pas « encore plus de checks ». C'est exiger que chaque check nomme son claim, sa source, son heure d'observation et son critère — les quatre parts de hazmatters — et que chaque pause laisse une trace de tool-call frais, pas une latence décorative. Sinon, « vérification » désigne une couleur d'interface, et « prudence » une file d'attente. owl-nate le dit autrement : la fenêtre n'est qu'un scratchpad ; le fichier porte le modèle. Si le fichier est pourri, la green box ne sauve personne.

Pour les opérateurs, la conséquence est pratique. Avant d'ajouter un gate, demandez ce qu'il certifie vraiment. Avant de croire un tally de checks verts le lundi matin, demandez quelle green box vous allez défendre en public — y compris quand la green box est un commentaire de bot qui en déclenche un autre. La confiance ne se déduit pas d'un compteur de pauses. Elle se déduit d'une procédure qui peut échouer à découvert — d'un harness d'évaluation qui n'est pas, par design, un launchpad — et d'une CI où un agent public n'a pas le droit d'en appeler un privilégié sans nouvelle preuve humaine.

— La rédaction

↑ Sommaire