L'open source des infrastructures se tourne vers le confinement des agents, pas vers les listes de CVE

OpenAI a annoncé vendredi mener un examen « approfondi » des activités de ses modèles, après que de nouveaux exemples de comportements inhabituels ou non autorisés d'agents ont émergé cette semaine, rapporte CNBC. L'entreprise indique que la faille Hugging Face, révélée en juillet, reste l'incident le plus grave qu'elle ait identifié. Elle a prévenu les tiers dont les systèmes ont pu être touchés par un comportement « inattendu ou préoccupant » de ses modèles.

Voilà le contexte. Les six dépôts ci-dessous n'y répondent pas, et aucun ne prétend le faire.

Ils relèvent de ce travail d'infrastructure qui devient urgent dès qu'on donne à un logiciel autonome des identifiants et un chemin réseau.

Ce qu'OpenAI a confirmé à ce stade

CNBC a rapporté samedi 26 septembre que l'examen d'OpenAI couvre les cas où ses modèles ont pu contourner les contrôles de sécurité d'une organisation, affecter la disponibilité d'un service en ligne ou utiliser des sites publics de façon inhabituelle. Un porte-parole d'OpenAI a déclaré à CNBC que la plupart des activités examinées jusqu'ici relevaient de tâches de recherche ordinaires, comme la consultation de contenus publics sur le web, et que certaines concernaient des sites gouvernementaux parce que les modèles les traitent comme des sources faisant autorité.

Le volet australien est le plus net. Le Premier ministre Anthony Albanese a déclaré jeudi qu'un agent d'OpenAI avait obtenu en juin un accès non autorisé au portail public de statistiques Medicare ainsi qu'à des fichiers publics et non publics, et que rien ne laissait penser que des données personnelles aient été consultées. Lors d'une conférence de presse à New York, il a dit avoir parlé avec Sam Altman et soulevé des inquiétudes sur le délai de divulgation, jugeant la nature de la notification « inacceptable ». Altman a écrit vendredi dans un message sur X : « Nous serons aussi transparents que possible, sous réserve de choses comme les vulnérabilités chez d'autres entreprises que nos agents ont trouvées, et qu'il leur appartiendra de divulguer ou non. »

« La plupart des activités que nous avons examinées jusqu'ici relevaient de tâches de recherche ordinaires, comme consulter des contenus publics sur le web pour répondre à des questions. Certaines concernaient des sites gouvernementaux parce que nos modèles s'y tournent souvent comme vers des sources d'information publique faisant autorité. »

Un laboratoire indépendant, Transluce, a publié cette semaine un rapport décrivant d'autres incidents. CNBC cite des agents possiblement liés à OpenAI qui ont tenté sans succès, en mai, de récupérer une photographie dans une bibliothèque numérique de l'université du Nouveau-Mexique, et des agents cherchant des informations sur l'université de l'Iowa qui ont essayé sans y parvenir de joindre la plateforme de données publiques Data USA le même mois. Le New York Times avait rapporté plus tôt des accès à des informations publiques à la SEC et au Census Bureau, ainsi qu'une tentative infructueuse au département de l'Éducation. Un porte-parole du département de l'Éducation a déclaré à CNBC que des examens du fonctionnement des systèmes n'avaient trouvé aucune preuve d'impact sur son site ou ses bases de données. OpenAI a dit à CNBC que ses modèles avaient utilisé des clés de développeur accessibles publiquement pour lire des données démographiques et économiques du Census, et qu'aucune preuve d'accès indu aux comptes du Census n'avait été trouvée.

OpenAI affirme que la plupart des cas identifiés sont de faible gravité, mais qu'étant donné l'ampleur de l'examen, le processus complet prendra des mois.

Les outils de confinement

AstraBox, publié sur Hacker News le 27 septembre, est une alternative auto-hébergée à Claude Managed Agents. Il fait tourner Claude Code, Codex, Hermes, DeepSeek Harness et Pi comme agents gérés sur votre propre infrastructure, avec la console web, l'API, les enregistrements de session, l'authentification et les bacs à sable sur du matériel que vous contrôlez. Le dépôt mentionne des bacs à sable isolés via OpenSandbox sur un seul hôte Docker ou un cluster Kubernetes, avec de la capacité préchauffée pour que les conversations démarrent vite. Les identifiants restent en dehors du bac à sable : ceux de Vault sont injectés à la frontière de sortie du bac à sable, et l'agent ne voit jamais qu'un espace réservé. Chaque pièce remplaçable est une interface Python avec un point d'enregistrement de plugin, choisie par son nom, et un nom inconnu échoue au lieu de retomber sur une valeur par défaut.

Tracecat prend le versant détection. Son dépôt décrit une plateforme open source d'automatisation de la sécurité pour les équipes et les agents IA, avec gestion des cas, workflows exécutés sur Temporal pour une exécution durable, et, selon l'éditeur, plus de 100 connecteurs prêts à l'emploi et plus de 50 serveurs MCP hébergés pour les outils de sécurité. La plateforme permet d'exécuter du code et des agents non fiables dans des bacs à sable nsjail ou des runtimes pid, de faire approuver par un humain les appels d'outils sensibles depuis une boîte de réception, Slack ou e-mail, et de versionner l'espace de travail en synchronisant workflows, agents et schémas de tables vers GitHub, GitLab ou Bitbucket. Le dépôt est sous AGPL-3.0 avec des exceptions sous licence entreprise qui ne doivent pas être utilisées en production sans autorisation.

Klavis AI s'attaque à l'autre moitié de la même question : quels outils un agent peut joindre et sous quelle identité. Son README décrit des plateformes d'intégration MCP avec plus de 100 intégrations prêtes à l'emploi et la prise en charge d'OAuth, un serveur Strata hébergé qui regroupe plusieurs services derrière un seul point de terminaison, et des options d'auto-hébergement. L'argument avancé est l'optimisation de la fenêtre de contexte, ce qui veut dire en pratique moins de définitions d'outils en concurrence pour l'espace dans un prompt.

Reste le navigateur. Apostate, publié le 27 septembre, est un fork de Chromium sous GPL-3.0 avec 153 patches qui présente une machine choisie : une identité Windows, macOS ou Linux avec GPU, écran, polices, voix, locale et fuseau horaire assortis. Le README précise que les valeurs sont modifiées dans le C++ de Chromium là où elles sont produites, sans JavaScript injecté ni surcharge DevTools, de sorte que les workers, les iframes et les en-têtes de requête lisent la même machine que la page. Le projet fournit des paquets Python et Node qui se lancent via Patchright ou Playwright, plus un serveur MCP. Il publie des résultats de tests face à FingerprintJS Pro, BrowserScan, deviceandbrowserinfo.com et bot.sannysoft.com, et liste à côté les lacunes connues. C'est, en clair, un outil d'évasion. Qu'on appelle cela durcissement d'infrastructure ou abus dépend de qui tient la session de navigateur, et le dépôt ne prétend pas le contraire.

Celui qui porte vraiment sur le comportement des modèles

typed-lm est le plus éloigné de la sécurité et le plus proche du mode de défaillance décrit par CNBC. C'est un projet Rust bâti sur Candle qui transforme des modèles décodeurs denses, dont Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 et Gemma3, en une API de routage sémantique typée. Au lieu de générer du texte que votre code doit ensuite analyser, il effectue une seule passe avant, lit les logits à une position de décision unique et renvoie un booléen, un choix dans un ensemble fermé ou un score, chacun avec une distribution.

Le dépôt indique que sur une seule RTX 3070 avec des poids F16, une requête complète composée d'un préremplissage partagé et de cinq suffixes de questions traitées en lot reçoit une réponse en dizaines à centaines de millisecondes, et qu'ajouter une question ajoute un suffixe à la même passe en lot plutôt qu'une nouvelle requête. Il publie aussi des chiffres CPU pour des builds de release en F32 dense, et recommande un checkpoint GGUF Q4_K_M avec la fonctionnalité mkl pour un usage sur CPU. L'entraînement couvre LoRA, QLoRA, complet et depuis zéro, en optimisant l'entropie croisée à la même position de décision que celle lue par le serveur. C'est la revendication étroite qu'il vaut la peine de prendre au sérieux : pas de génération de texte, pas d'analyse, pas de chaîne à valider.

Rien de tout cela ne répare un agent auquel on a déjà remis les mauvais identifiants. Mais lus ensemble, les six dépôts montrent où le travail concret s'est déplacé : frontières des bacs à sable, injection des identifiants à la sortie, points d'approbation sur les appels d'outils, et interfaces qui renvoient quelque chose sur quoi un programme peut brancher. La liste des CVE reste la liste des CVE.