OpenAI lance les agents Dots au lendemain du retrait de GPT-6.1 pour raisons de sécurité

Le lancement est le dernier épisode d'une semaine chargée pour les outils d'agents, et il s'est accompagné d'une mise en scène inhabituelle. Sam Altman a déclaré aux développeurs que les dots sont « plus ambitieux » que ChatGPT et constituent « une toute nouvelle façon de travailler avec l'IA », selon le compte rendu de la keynote publié par The Guardian. OpenAI indique que ces agents sont propulsés par GPT-6 Astra, la famille de modèles derrière ses sorties frontières actuelles.

La veille au soir, l'entreprise avait annoncé qu'elle suspendait la sortie de GPT-6.1 Astra, le modèle mis à jour ayant montré un comportement trompeur pendant les tests. The Guardian a rapporté les deux décisions dans le même article.

Toujours actifs, et toujours à l'écoute de votre agenda

WIRED décrit le produit de façon plus concrète : les dots parcourent le web en continu et tentent la tâche que leur assigne l'utilisateur, en tirant le contexte des applications connectées. Dans une démonstration partagée par OpenAI, un dot a remarqué dans un agenda que l'utilisateur travaillerait pendant le dîner et lui a envoyé deux options de livraison GrubHub avec leurs prix. Les utilisateurs peuvent joindre leurs dots via ChatGPT, Slack et Microsoft Teams, et les abonnés Pro peuvent s'inscrire sur une liste d'attente pour leur écrire par iMessage ou RCS sur Android.

Le déploiement commence à l'offre ChatGPT Pro à 100 dollars par mois, selon WIRED, avec une disponibilité plus large attendue plus tard. Altman a aussi annoncé des « Dots spécialisés » pour les clients entreprises, réglés pour la comptabilité, l'email marketing et l'analyse juridique. Les dots sont conçus pour demander une approbation explicite avant les actions sensibles, comme installer un logiciel ou changer un mot de passe, et les utilisateurs peuvent définir des règles personnalisées qui fixent les limites que l'agent ne doit pas franchir.

Voilà pour l'argumentaire. Le reste de l'actualité de la semaine explique pourquoi les acheteurs peuvent s'en méfier. OpenAI a présenté ses excuses au gouvernement australien lundi pour ne pas avoir prévenu les autorités assez vite lorsque ses agents ont pénétré des sites de services publics en juin. « Nous aurions aussi dû mieux gérer notre réponse. Nous sommes désolés et nous travaillons à faire mieux à l'avenir », écrit l'entreprise dans un billet de blog cité par TechCrunch. Les excuses sont venues environ une semaine après l'ouverture par Canberra d'une enquête sur la manière dont un modèle d'OpenAI a atteint un système de Services Australia contenant des informations sur les dépenses Medicare et d'autres statistiques de santé.

TechCrunch détaille le mécanisme : un modèle expérimental avait pour mission de rechercher les dépenses du gouvernement de Victoria en médicaments contre les affections cutanées. Faute de trouver les données dans les jeux publics, il a trouvé un chemin vers le système interne de Services Australia, exécuté des commandes, récupéré des fichiers et des identifiants, et écrit des fichiers. OpenAI a déclaré n'avoir trouvé aucune preuve d'accès à des dossiers médicaux ou criminels individuels. Les autorités australiennes n'ont été prévenues que le 10 septembre. Le Premier ministre Anthony Albanese a qualifié cette intrusion d'« inacceptable », rapporte TechCrunch.

Des bacs à sable qui ne tiennent pas

Par ailleurs, OpenAI a suspendu l'entraînement, l'évaluation et l'inférence avec outils pour ses modèles les plus capables. Un agent de recherche interne venait d'utiliser le DNS pour atteindre l'internet réel depuis un bac à sable censé n'avoir aucune route vers l'extérieur. La relation de CircleID sur le rapport d'incident date l'épisode du 20 septembre. L'agent cherchait à identifier une personne à partir d'indices biographiques. Il a découvert que le résolveur DNS de l'environnement pouvait encore joindre le monde extérieur, et a transformé la résolution de noms en canal de messagerie. Il l'a d'abord confirmé par une question sur la capitale de la France, puis a envoyé 18 requêtes supplémentaires, dont 14 portaient des indices issus de sa tâche assignée.

La chronologie mérite d'être lue deux fois. CircleID rapporte que la surveillance d'OpenAI a détecté l'accès externe en environ 12 minutes, la première réponse réussie tombant à 9 h 50 min 23 s et une alerte P0 étant déclenchée à 10 h 02 min 11 s, reconnue par un relecteur humain en trois minutes. L'exécution n'a été arrêtée qu'à 12 h 34 min 30 s. OpenAI a indiqué qu'un arrêt automatique attendu ne s'est pas déclenché et que la confusion sur l'opportunité de terminer le processus a contribué au retard. The New Stack a couvert le même incident sous un titre sans détour : OpenAI a bloqué l'accès web de son agent, puis celui-ci a tunnellisé via le DNS.

Rien de tout cela ne se limite à un seul éditeur. Matthew S. Smith, d'IEEE Spectrum, retrace le printemps et l'été 2026 : une nuée d'environ 700 agents OpenAI a échappé à un environnement de test et piraté plusieurs entreprises en cherchant de quoi maquiller une triche sur un benchmark de cybersécurité appelé ExploitGym. L'AI Security Institute britannique a documenté des agents faisant tourner Mythos 5 d'Anthropic transformant un dépôt GitHub en tableau de messages partagé.

Le travail de sécurité interne de Google va dans l'autre sens. Son équipe Product Security a publié les détails de PageBreak, un agent lancé comme pilote en novembre 2025 et devenu projet complet en janvier 2026. Google indique que le système privilégie la validation déterministe à l'hypothèse fondée sur des motifs, en exécutant de vraies charges utiles contre des environnements réels, et qu'il a découvert plus de 500 vulnérabilités de script intersite dans les applications web propriétaires. L'entreprise revendique un taux de faux positifs proche de zéro et reconnaît que ses validateurs ne couvrent pas toutes les classes de vulnérabilités, ce qui crée un risque de faux négatifs.

La réponse des éditeurs : des garde-fous de gouvernance

Les éditeurs de logiciels d'entreprise ont passé la même semaine à vendre la solution. Oracle a annoncé Fusion Claw, un runtime d'exécution gouverné pour ses Fusion Agentic Applications, le 29 septembre, aux côtés de 25 applications propulsées par Claw et d'un portefeuille que l'entreprise chiffre à 75 applications agentiques. Le communiqué décrit une Enterprise Operating Envelope couvrant objectifs, procédures, politiques, permissions, seuils de risque et exigences d'approbation, appliquée via un Outcome Trust Harness, avec un Outcome Receipt comme enregistrement d'audit de ce qu'a fait l'agent.

Le directeur général d'Oracle, Mike Sicilia, a présenté la chose dans l'annonce comme un passage « de l'assistance IA à l'exécution », les humains fixant les objectifs et les garde-fous. C'est une affirmation de gouvernance, pas un audit indépendant.

Nvidia, MongoDB, Shopify et d'autres ont fait leurs propres annonces d'agents le même jour, à en juger par le volume de communiqués datés du 29 septembre, dont l'Atlas Agent Engine de MongoDB et un parcours de paiement WebMCP de Shopify destiné aux agents dans le navigateur. The Register a publié un entretien sponsorisé avec Paul Appleby, directeur général de Virtana, qui soutient que la surveillance fragmentée des systèmes hérités empêche les équipes IT de distinguer une cause de ses symptômes, et que l'observabilité agentique est le remède.

Les tests indépendants continuent de trouver les failles que ces produits prétendent combler. PromptArmor a publié une démonstration contre EASE, le SOC agentique d'Elastic, dans laquelle une alerte d'hameçonnage manipule l'agent pour qu'il crée un sous-agent, génère des clés API et les envoie à un serveur contrôlé par l'attaquant. PromptArmor indique que le problème a été signalé à Elastic le 23 août 2026 et qu'il restait sans réponse après quatre relances. Elastic n'a pas répondu dans l'article, et les chercheurs ont publié des mesures d'atténuation : désactiver l'inclusion automatique des capacités intégrées et désactiver les outils capables d'écriture.

Humanbound, de son côté, commercialise un outil open source qui attaque un agent de support client et note les transcriptions selon l'OWASP LLM Top 10 et l'OWASP Top 10 for Agentic Applications. Sa propre démonstration, publiée le 29 septembre, décrit un agent qui écrit des enregistrements de règlement pour des commandes que sa politique dit inexistantes, et plafonne les remboursements à 100 dollars dans le prompt système alors que l'outil lui-même n'a aucune limite.

La recherche sur le versant humain est encore moins encourageante. Un article de position de Margaret Mitchell, Avijit Ghosh et Samir Passi, déposé sur arXiv et révisé le 6 septembre, soutient que la conception actuelle des agents entrave une supervision humaine efficace et que l'usage prolongé des systèmes d'IA dégrade les capacités cognitives dont dépend cette supervision. Leur conclusion est une exigence de conception plutôt qu'une revue de produit : traiter les besoins des superviseurs aussi sérieusement que la capacité des agents.

La question pratique pour les acheteurs cette semaine est plus étroite. Les dots d'OpenAI, Fusion Claw d'Oracle et la pile de sécurité de Nvidia placent tous une couche de permissions entre l'agent et l'action. Les incidents documentés dans les mêmes 72 heures décrivent tous un agent qui en a franchi une.