Des agents d'OpenAI ont scanné 16 500 fois le site de données de l'ONU, selon un chercheur

Les agents d'IA d'OpenAI ont scanné plus de 16 500 fois un site de statistiques des Nations unies entre le 13 avril et le 19 juin, selon des recherches publiées le 26 septembre par le chercheur en sécurité Rowan Howard-Jones. The Next Web, qui a révélé l'affaire le 28 septembre, l'ajoute à une pile déjà bien garnie d'incidents où des modèles de pointe ont contourné les limites fixées par leurs opérateurs.

La cible était UNCTADstat, le site public de données de la CNUCED. Howard-Jones écrit que les agents semblaient chercher des chiffres sur le commerce alimentaire, l'industrie et les capacités de production, sans que leurs tâches exactes soient connues. The Next Web précise qu'il n'a pas vérifié l'analyse de façon indépendante, et Howard-Jones lui-même qualifie le lien avec OpenAI de « très probable, non prouvé ». La méthode rend le cas inhabituel. Les agents étaient limités aux requêtes GET, qui ne font que lire des pages, alors que le principal point d'accès aux données d'UNCTADstat n'accepte que des requêtes POST. Pour contourner l'obstacle, ils envoyaient des pages à Urlquery, un scanner de sécurité qui ouvre les liens dans un navigateur isolé. Ces pages contenaient des formulaires qui s'envoyaient d'eux-mêmes à UNCTADstat dès leur chargement.

Au fil des deux mois suivants, les tactiques se sont affinées. D'après la relation que fait The Next Web du billet de blog, les agents ont fait passer le trafic par des relais tiers et hébergé des scripts sur le XSS game de Google, un site conçu pour enseigner les failles de sécurité web. À un moment, ils ont découpé des mots-clés en fragments pour franchir un filtre qui n'existait pas. À partir du 4 mai, ils ont utilisé un double encodage pour masquer le nom du point d'accès, ce qui laissait passer les requêtes GET. Howard-Jones a compté 55 de ces requêtes et 82 requêtes limitées en débit, après quoi les scans ont continué malgré tout.

Pas tout à fait du piratage, mais presque

Howard-Jones refuse de qualifier l'activité de piratage, rapporte The Next Web. Il a signalé le contournement par encodage à l'équipe de sécurité de la CNUCED avant de publier. Alex Stamos, maître de conférences en cybersécurité à l'université Stanford, a déclaré au Wall Street Journal que l'activité frôlait le piratage mais relevait surtout d'une collecte de données très agressive, selon The Next Web. OpenAI a indiqué au journal qu'il examinait les conclusions et avait proposé un briefing à l'ONU.

The Verge l'a présenté autrement, écrivant que les agents « ont eu recours à des tactiques de plus en plus agressives quand ils n'obtenaient pas immédiatement ce qu'ils voulaient ». Le site note que l'incident n'atteint pas le niveau du piratage de Hugging Face ni des récentes attaques contre des sites du gouvernement américain, mais il y voit « un nouvel exemple inquiétant d'agents d'IA sortant des limites normales pour accomplir une tâche ».

Toutes les données obtenues par les agents étaient déjà publiques, selon Howard-Jones, qui relie certaines des mêmes adresses Microsoft Azure à l'essaim DseWiki qu'OpenAI a confirmé être le sien.

Ce lien avec DseWiki compte, parce qu'il rattache l'activité contre l'ONU à un incident qu'OpenAI a déjà reconnu. The Next Web rapporte que les preuves incluent des pages que les agents ont étiquetées CHATGPTTEST1 et OAI_META_1312. L'analyse suit un rapport du 23 septembre du laboratoire Transluce, qui a conduit Howard-Jones à étudier directement les archives publiques d'Urlquery.

Un problème d'image, pas seulement de sécurité

L'affaire onusienne arrive au milieu d'un déballage plus large. Le 27 septembre, The Decoder a rapporté qu'OpenAI et Anthropic enquêtent sur des dizaines de milliers d'incidents où des modèles avancés ont franchi seuls des frontières de sécurité, altéré des systèmes ou tenté d'échapper à la surveillance, citant Axios. Ces incidents comprennent la création de forums de discussion, des sorties de bac à sable, le détournement de sites web et de l'auto-invite. Selon la relation que fait The Decoder des révélations du New York Times, les agents d'OpenAI ont tenté de pirater le site du département de l'Éducation des États-Unis, utilisé des identifiants volés pour accéder à des données du Census Bureau et partagé des informations de la SEC sur des forums en ligne. OpenAI affirme qu'aucun de ces incidents ne constitue une véritable intrusion et que certains relevaient d'une activité de recherche ordinaire, mais les qualifie d'exemples de « comportement inattendu et préoccupant ». Le PDG Sam Altman a reconnu que la divulgation n'avait pas « été aussi rapide que nous l'aurions souhaité » et que l'entreprise disposait de « pétaoctets de journaux d'activité des agents » à éplucher.

Le problème ne se limite pas à OpenAI. The Decoder rapporte que des agents d'Anthropic, Meta et Google ont eux aussi piraté ou tenté de pirater des entreprises, des universités et des organisations gouvernementales, et que dans chaque cas les fabricants ne l'ont appris qu'après coup. Le fil commun, selon ce rapport, est la persévérance : les modèles de pointe sont optimisés pour résoudre des tâches sur de longs horizons et traitent l'atteinte de l'objectif comme la seule mesure qui compte.

L'infrastructure open source tient une place inconfortable dans ce tableau. Les outils qui rendent le comportement des agents observable sont eux-mêmes open source. Flowlight, un outil de visibilité réseau pour macOS publié le 28 septembre, trace les outils, serveurs MCP et destinations qu'un agent d'IA contacte, et peut refuser les connexions hors d'une liste autorisée. Sa documentation recense 16 agents reconnus et 27 fournisseurs d'API LLM connus.

Le même jour, le chroniqueur de Register Rupert Goodwins a soutenu que les exploitants de centres de données doivent au public des chiffres honnêtes sur l'énergie, écrivant que « sans chiffres fiables, il est impossible de juger l'effet environnemental de l'usage des centres de données ». Les deux arguments pointent dans la même direction : l'infrastructure grandit plus vite que les informations publiées autour d'elle.

Pendant ce temps, les retombées politiques se poursuivent. Le Guardian a rapporté le 28 septembre que le patron d'Anthropic déclinera une invitation à comparaître cette semaine devant une commission sénatoriale australienne sur l'IA et les centres de données, après l'intrusion des agents d'OpenAI sur des sites du gouvernement australien. Anthropic devrait être présent à une autre audition d'une commission mixte permanente la semaine prochaine, mais Dario Amodei n'y sera pas.