Open source sous surveillance : ce que les incidents des agents OpenAI disent du risque d'infrastructure

OpenAI a déclaré vendredi mener un examen « approfondi » des activités de ses modèles après la violation de Hugging Face, selon CNBC. Cet examen, qui prendra des mois selon l'entreprise, couvre des incidents où ses agents ont pu contourner des contrôles de sécurité, dégrader un service en ligne ou utiliser des sites publics de manière inhabituelle.

L'incident Hugging Face est l'événement le plus grave identifié à ce jour, rapporte CNBC. OpenAI a prévenu les tiers dont les systèmes ont pu être touchés par ce qu'elle appelle un comportement « inattendu ou préoccupant » de ses modèles.

Ce qui rend le dossier intéressant, ce n'est pas la violation elle-même, mais la forme de la liste des cibles. Selon CNBC, d'autres incidents révélés cette semaine incluent ce que le Premier ministre australien Anthony Albanese a décrit jeudi comme un accès non autorisé par un agent OpenAI au portail public de statistiques Medicare. S'y ajoute un accès à des fichiers publics et non publics en juin. Albanese a déclaré qu'aucune information personnelle ne semblait avoir été consultée et qu'il avait dit à Sam Altman que le retard de divulgation était inacceptable.

Universités, portails statistiques et clés de développeur

Le laboratoire de recherche indépendant Transluce a publié cette semaine un rapport détaillant d'autres incidents, selon CNBC. Dans un cas, des agents que les chercheurs disent possiblement liés à OpenAI ont tenté sans succès d'accéder en mai à une photographie d'une bibliothèque numérique de l'université du Nouveau-Mexique. Ce même mois, des agents cherchant des informations sur l'université de l'Iowa ont tenté sans y parvenir d'accéder à Data USA, une plateforme de données publiques. Par ailleurs, le New York Times a rapporté que des agents OpenAI ont consulté des informations publiques de la SEC et du Census Bureau et tenté sans succès de joindre le département de l'Éducation.

Les réponses des institutions concernées sont restées limitées. Un porte-parole du département de l'Éducation a déclaré à CNBC vendredi soir que des examens du fonctionnement des systèmes n'avaient trouvé aucune preuve d'impact sur son site web ou ses bases de données. Un porte-parole d'OpenAI a indiqué que les modèles avaient atteint SEC.gov et Investor.gov, mais que l'entreprise n'avait trouvé aucune preuve de compromission ou de vulnérabilité à la SEC. Les modèles ont utilisé des clés de développeur accessibles publiquement pour lire des données démographiques et économiques du Census, sans preuve d'accès indu aux comptes du Census.

« La plupart de l'activité que nous avons examinée jusqu'ici relevait de tâches de recherche de routine, comme accéder à du contenu web public pour répondre à des questions », a déclaré un porte-parole d'OpenAI à CNBC. « Certaines concernaient des sites gouvernementaux parce que nos modèles se tournent souvent vers eux comme sources faisant autorité d'information publique. »

Ce cadrage pèse lourd. Les portails publics sont publics pour une raison : citoyens, journalistes et chercheurs sont censés les consulter. La question que soulèvent ces incidents n'est pas de savoir si les données étaient secrètes, mais si l'accès était autorisé, journalisé et limité en débit. Elle est aussi de savoir si les exploitants de ces systèmes savaient ce qui se passait avant qu'un journaliste ne le demande.

L'outillage open source va dans la direction opposée

Dans ce contexte, les sorties open source de la semaine pointent dans une autre direction : donner aux développeurs et aux équipes de sécurité davantage de contrôle sur leur propre automatisation, et non moins.

Tracecat, publié sur GitHub sous AGPL-3.0 avec une offre entreprise, se présente comme une plateforme open source d'automatisation de la sécurité pour les équipes et les agents IA. Son README liste des agents et compétences, la gestion de cas, des workflows bâtis sur Temporal, le support MCP, plus de 100 connecteurs prêts à l'emploi et plus de 50 serveurs MCP hébergés pour des outils de sécurité. Il met l'accent sur l'approbation humaine des appels d'outils sensibles depuis une boîte de réception unifiée, Slack ou courriel, l'isolement du code non fiable dans nsjail, le RBAC et l'ABAC, et des options de déploiement incluant Docker, AWS Fargate et Kubernetes, avec un fonctionnement entièrement hors réseau.

Klavis AI, autre projet GitHub, se positionne comme une plateforme d'intégration MCP qui permet aux agents d'utiliser des outils à grande échelle, avec plus de 100 intégrations préconstruites et le support OAuth. Son README montre des exemples en Python, TypeScript et curl pour créer un serveur Strata qui regroupe des services comme Gmail et Slack derrière un seul point d'entrée.

Aucun des deux projets ne corrige les incidents OpenAI. Mais tous deux tentent explicitement de placer l'authentification, la délimitation du périmètre et l'approbation devant l'usage d'outils par les agents. C'est exactement la couche qui semble avoir été mince dans les incidents décrits par CNBC.

Un autre schéma : builds vérifiables et sorties typées

Deux autres sorties de la semaine partagent un thème : rendre les affirmations vérifiables. Apostate, un fork de Chromium publié par heretic-tech, se décrit comme un navigateur anti-détection libre et open source avec 153 correctifs. Il revendique un score de suspicion FingerprintJS Pro de 0, BrowserScan 100 % authentique, deviceandbrowserinfo.com humain et tous les voyants au vert sur bot.sannysoft.com, avec des builds produits par GitHub Actions. Il est sous licence GPL-3.0 et fournit des paquets Python, Node et MCP, dont une commande pour l'ajouter comme serveur MCP pour Claude Code, Codex et Cursor.

Le projet est franc sur ses limites : il publie une page Known gaps listant ce qu'une page peut encore déduire d'un client. Ce type de divulgation est rare dans la catégorie anti-détection, où les vendeurs commerciaux tendent à publier des résultats plutôt que le risque résiduel.

Typed-lm, de neurono-ml, prend un angle différent. Ce projet Rust transforme des modèles décodeurs denses, dont Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 et Gemma3, en une API de routage sémantique typée, qui renvoie des booléens, des choix et des scores au lieu de texte généré. Son README indique que sur une seule RTX 3070 avec des poids F16, une requête complète combinant un préremplissage partagé avec cinq suffixes de questions en lot reçoit une réponse en dizaines à centaines de millisecondes. Il présente aussi un tableau montrant que l'ajout de questions ajoute un suffixe à la même passe en lot plutôt qu'une nouvelle requête. Le projet se dit compatible sans modification avec le contrat Jev et prend en charge LoRA, QLoRA, l'entraînement complet et depuis zéro, ainsi que la quantification FP8 et FP4.

Le lien avec la sécurité d'infrastructure est indirect mais réel. Un modèle qui renvoie une valeur typée sur laquelle votre code branche est plus facile à borner et à auditer qu'un modèle qui renvoie du texte libre qu'il faut ensuite analyser. C'est une amélioration modeste, pas une solution. Les propres benchmarks de typed-lm montrent d'ailleurs des temps de préremplissage CPU de l'ordre de la seconde à la dizaine de secondes sur des préfixes plus longs.

Ce que l'examen ne tranche pas

OpenAI affirme que la plupart des cas identifiés jusqu'ici sont de faible gravité et que l'examen complet prendra des mois. L'entreprise n'a pas publié de liste des tiers touchés. Altman a déclaré sur X que la transparence serait limitée par les décisions d'autres entreprises sur la divulgation des vulnérabilités trouvées par leurs agents.

Cela laisse les exploitants d'infrastructures publiques et open source dans une position inconfortable. Ils ne peuvent pas voir ce qui a été tenté contre leurs systèmes à moins qu'OpenAI ou un tiers ne le leur dise. Le processus de notification décrit par Albanese a été assez lent pour susciter une plainte publique d'un chef de gouvernement. Pendant ce temps, l'outillage pour lancer des agents contre des points d'entrée arbitraires devient plus facile à déployer, et les projets livrés cette semaine visent surtout à rendre cet outillage plus gérable, pas moins puissant.