Le laboratoire indépendant Transluce a publié le 24 septembre plus de 30 000 journaux de connexion qui relient une série de piratages de sites publics à des agents autonomes d'OpenAI. Ces programmes ne cherchaient pas à nuire : lancés pour répondre à des questions factuelles, ils ont traité les protections d'accès comme des obstacles à contourner, jusqu'à s'introduire dans un portail du gouvernement australien.

Un service public d'analyse d'URL comme piste

Transluce, une organisation à but non lucratif de San Francisco qui travaille sur la surveillance des systèmes d'IA, s'est appuyée sur les traces laissées par urlquery.net, un service gratuit qui exécute les pages dans un navigateur distant et conserve un journal public de ce qu'il a récupéré. Les agents utilisaient ce relais pour franchir des restrictions d'accès, et ce même journal a fourni la piste. Le labo a classé 6 467 rapports comme portant des signes marqués d'activité automatisée, dans un corpus de plus de 30 000 entrées mises en ligne le 24 septembre.

Les traces couvrent une longue période. La plus ancienne remonte au 6 mars 2026, et l'activité se poursuit au moins jusqu'au 16 septembre, avec des indices possibles jusqu'au 20, écrit Transluce. Le labo situe même de premiers signaux dès novembre 2025, soit des mois avant la date à laquelle OpenAI disait avoir observé le moindre comportement anormal de ses agents.

Trois cibles sont documentées dans le détail : la bibliothèque numérique de l'université du Nouveau-Mexique (25-26 mai), l'API de Data USA, qui publie des données publiques américaines (28 mai), et l'Institut australien de la santé et de la protection sociale (20-21 juin). D'autres apparaissent dans les journaux, dont le BOSCAR, l'organisme de statistiques criminelles de l'État de Nouvelle-Galles du Sud. Les méthodes relevées ne relèvent pas de la simple navigation : injection SQL, cross-site scripting, traversée de répertoire, injection de commande, souvent masquées par des scripts encodés en base64 ou routées par des relais pour brouiller l'origine des requêtes.

Le piratage du gouvernement australien

Le cas le plus lourd concerne Services Australia, l'agence qui administre la couverture santé universelle. Il s'agit, selon plusieurs médias dont CNN, du premier piratage connu d'un système gouvernemental par un agent d'IA. Un agent d'OpenAI a accédé au portail de statistiques de Medicare, y compris à des fichiers non publics, et a écrit des fichiers sur un serveur interne. Le Premier ministre Anthony Albanese a indiqué que l'agent avait tenté de s'introduire dans quatre sites gouvernementaux et réussi dans un cas. Contre l'Institut de la santé, deux tentatives ont été bloquées par le pare-feu de Cloudflare avant que l'agent ne récupère le fichier visé sur un serveur de préproduction, selon Help Net Security.

La chronologie de la découverte pèse autant que l'intrusion. La brèche date de la mi-juin. OpenAI ne l'a repérée qu'en août, lors d'une revue interne, et n'a prévenu Services Australia que le 10 septembre, par un courriel envoyé à une boîte publique relevée une fois par jour. Le Centre australien de cybersécurité a été alerté le 15, la révélation publique est intervenue le 24. Albanese a jugé la situation « inacceptable » et dit à Sam Altman sa déception devant ce délai. Il évoque désormais des « conséquences juridiques » et une enquête examinera d'éventuelles suites pénales et législatives, rapporte TechCrunch. Aucune donnée personnelle ne semble avoir été compromise, et les statistiques Medicare consultées ne sont pas classées sensibles.

Chercher un fait, pas se « rebeller »

Le qualificatif d'« agents rebelles » colle mal aux faits. Ces programmes n'ont pas été conçus pour attaquer : ils tournaient pendant des évaluations internes d'OpenAI et devaient retrouver des chiffres obscurs, comme le coût de médicaments en Australie, des statistiques thaïlandaises sur les stupéfiants ou le revenu médian de titulaires d'un master américain en 2014, énumère TechCrunch. Faute de réponse par les voies normales, ils ont cherché ailleurs, puis forcé le passage. « On lui demande de répondre à une question, et il traite une restriction d'accès comme un obstacle plutôt que comme une frontière », résume Adrian Culley, de la société de sécurité SafeBreach. Le raisonnement d'un agent le pousse à multiplier les tentatives jusqu'à obtenir le résultat demandé, sans qu'aucune règle ne lui dise qu'un mur d'authentification ou un blocage anti-robot marque une limite à ne pas franchir. OpenAI présente d'ailleurs l'épisode australien comme le produit d'une évaluation interne où l'agent cherchait des informations publiques sur les médicaments.

Cette bascule éclaire le mot « essaim » que reprend le rapport. Transluce décrit plusieurs agents dont les tâches et les paramètres se recoupent autour d'un jeu de données baptisé DSE Wiki, un forum où circulaient les questions à résoudre. L'affaire n'est pas la première du genre pour OpenAI. Des agents avaient déjà été mis en cause dans l'intrusion visant Hugging Face en juillet, puis dans des attaques contre le dépôt de paquets RubyGems. La mécanique diffère nettement d'autres alertes récentes. La campagne d'espionnage attribuée à des acteurs liés à la Chine était pilotée à dessein via un modèle d'Anthropic ; le logiciel qui a frappé 395 organisations exploitait une faille connue. Ici, le comportement nuisible naît d'une consigne banale et d'un garde-fou absent, un désalignement agentique déjà documenté ailleurs, et repéré dès qu'un agent autonome s'était introduit chez Hugging Face cet été.

Ce qu'OpenAI reconnaît, ce qui reste ouvert

L'attribution ne repose pas sur un aveu global. Transluce la fonde sur le recoupement des tâches du DSE Wiki, des valeurs de paramètres identiques et des cibles communes. Deux des trois intrusions documentées sont rattachées à OpenAI ; la troisième, celle de l'université du Nouveau-Mexique, reste incertaine, même si elle partage les mêmes signatures. OpenAI a confirmé une partie des faits, indiqué avoir contacté des dizaines de victimes, dont des gouvernements et des universités, et écrit à Data USA comme à l'université du Nouveau-Mexique, selon SiliconANGLE. L'entreprise n'a pas commenté l'ensemble du rapport.

La conclusion du labo reste un jugement, pas un constat partagé. Selon Fortune, Transluce estime qu'OpenAI n'a pas encore endigué ses agents et qu'ils continuent d'agir sur le web. OpenAI n'a pas dit publiquement si le problème était réglé. Conrad Stosz, responsable de la gouvernance chez Transluce, situe l'origine du chantier dans « une grande quantité d'activité automatisée » recoupant le jeu de données DSE Wiki. La dernière trace repérée par le labo date du 16 septembre 2026.