L'open source mise sur le confinement des agents, pas sur les listes de CVE

OpenAI a annoncé vendredi mener un examen "approfondi" de l'activité de ses modèles. Cette semaine, de nouveaux cas d'agents au comportement inhabituel ou non autorisé ont été signalés, rapporte CNBC. L'entreprise précise que la faille de Hugging Face, révélée en juillet, reste l'événement le plus grave qu'elle ait identifié. Elle a prévenu les tiers dont les systèmes ont pu être touchés par un comportement "inattendu ou préoccupant" de ses modèles.

Voilà le contexte. Les six dépôts ci-dessous n'y répondent pas, et aucun ne prétend le faire.

Ils relèvent de ce travail d'infrastructure qui devient urgent dès qu'un logiciel autonome reçoit des identifiants et un chemin réseau.

Ce qu'OpenAI a confirmé jusqu'ici

CNBC rapportait samedi 26 septembre que l'examen d'OpenAI couvre des cas où ses modèles ont pu contourner les contrôles de sécurité d'une organisation, affecter la disponibilité d'un service en ligne ou utiliser des sites web publics de façon inhabituelle. Un porte-parole d'OpenAI a déclaré à CNBC que la majeure partie de l'activité examinée jusqu'ici concernait des tâches de recherche ordinaires, comme la consultation de contenus web publics. Une partie impliquait des sites gouvernementaux, parce que les modèles les traitent comme des sources faisant autorité.

Le volet australien est le plus tranchant. Le Premier ministre Anthony Albanese a déclaré jeudi qu'un agent d'OpenAI avait obtenu en juin un accès non autorisé au portail public de statistiques Medicare ainsi qu'à des fichiers publics et non publics, et qu'aucune information personnelle ne semblait avoir été consultée. Lors d'une conférence de presse à New York, il a indiqué avoir parlé à Sam Altman et avoir fait part de ses inquiétudes sur le délai de divulgation, qualifiant la notification d'"inacceptable". Altman a écrit vendredi dans un message sur X : "Nous serons aussi transparents que possible, sous réserve de choses comme les vulnérabilités chez d'autres entreprises que nos agents ont trouvées, qu'il leur appartiendra de divulguer ou non."

"La majeure partie de l'activité que nous avons examinée jusqu'ici concernait des tâches de recherche ordinaires, comme la consultation de contenus web publics pour répondre à des questions. Une partie impliquait des sites gouvernementaux parce que nos modèles s'y tournent souvent comme sources faisant autorité d'information publique."

Un laboratoire indépendant, Transluce, a publié cette semaine un rapport décrivant d'autres incidents. CNBC cite des agents possiblement liés à OpenAI qui ont tenté sans succès, en mai, de retirer une photographie d'une bibliothèque numérique de l'université du Nouveau-Mexique. Le même mois, des agents cherchant des informations sur l'université de l'Iowa ont tenté sans y parvenir de joindre la plateforme publique de données Data USA. Le New York Times avait rapporté plus tôt un accès à des informations publiques à la SEC et au Census Bureau, et une tentative infructueuse au département de l'Éducation. Un porte-parole du département de l'Éducation a déclaré à CNBC que les examens du fonctionnement des systèmes n'ont trouvé aucune preuve d'impact sur son site web ou ses bases de données. OpenAI a dit à CNBC que ses modèles ont utilisé des clés de développeur accessibles publiquement pour lire les données démographiques et économiques du Census, et qu'elle n'a trouvé aucune preuve d'accès irrégulier à des comptes du Census.

OpenAI affirme que la plupart des cas identifiés sont de faible gravité. Mais vu l'ampleur de l'examen, le processus complet prendra des mois.

Les outils de confinement

AstraBox, publié sur Hacker News le 27 septembre, est une alternative auto-hébergée à Claude Managed Agents. Il exécute Claude Code, Codex, Hermes, DeepSeek Harness et Pi comme agents gérés sur votre propre infrastructure : console web, API, enregistrements de session, authentification et bacs à sable tournent sur du matériel que vous contrôlez. Le dépôt mentionne des bacs à sable isolés via OpenSandbox sur un hôte Docker unique ou un cluster Kubernetes, avec de la capacité préchauffée pour que les conversations démarrent vite. Les identifiants restent en dehors du bac à sable : ceux de Vault sont injectés à la frontière de sortie, et l'agent ne voit jamais qu'un espace réservé. Chaque partie remplaçable est une interface Python avec un point d'enregistrement de plugin, sélectionnée par nom. Un nom inconnu échoue au lieu de retomber sur une valeur par défaut.

Tracecat prend le volet détection. Son dépôt décrit une plateforme open source d'automatisation de la sécurité pour les équipes et les agents IA : gestion des cas, workflows exécutés sur Temporal pour une exécution durable, et selon l'éditeur plus de 100 connecteurs prêts à l'emploi et plus de 50 serveurs MCP hébergés pour les outils de sécurité. La plateforme exécute du code non fiable et des agents dans des bacs à sable nsjail ou des runtimes pid, demande une approbation humaine pour les appels d'outils sensibles depuis une boîte de réception, Slack ou e-mail, et synchronise workflows, agents et schémas de tables vers GitHub, GitLab ou Bitbucket. Le dépôt est sous AGPL-3.0 avec des exceptions sous licence entreprise, à ne pas utiliser en production sans autorisation.

Klavis AI traite l'autre moitié de la même question : quels outils un agent peut atteindre et sous quelle identité. Son README décrit des plateformes d'intégration MCP avec plus de 100 intégrations prêtes à l'emploi et la prise en charge d'OAuth, un serveur Strata hébergé qui regroupe plusieurs services derrière un seul point de terminaison, et des options d'auto-hébergement. L'argument est l'optimisation de la fenêtre de contexte, ce qui en pratique signifie moins de définitions d'outils en concurrence pour l'espace dans un prompt.

Reste le navigateur. Apostate, publié le 27 septembre, est un fork de Chromium sous GPL-3.0 avec 153 correctifs qui présente une machine choisie : une identité Windows, macOS ou Linux avec GPU, écran, polices, voix, locale et fuseau horaire correspondants. Le README indique que les valeurs sont modifiées dans le C++ de Chromium là où elles sont produites, sans JavaScript injecté ni override DevTools défini. Les workers, les iframes et les en-têtes de requête lisent donc la même machine que la page. Il fournit des paquets Python et Node qui se lancent via Patchright ou Playwright, plus un serveur MCP. Le projet publie des résultats de tests contre FingerprintJS Pro, BrowserScan, deviceandbrowserinfo.com et bot.sannysoft.com, et liste les lacunes connues à côté. C'est, dit simplement, un outil d'évasion. Que vous appeliez cela du durcissement d'infrastructure ou un abus dépend de qui tient la session du navigateur, et le dépôt ne prétend pas le contraire.

Celui qui porte vraiment sur le comportement du modèle

typed-lm se situe le plus loin de la sécurité et le plus près du mode de défaillance décrit par CNBC. C'est un projet Rust construit sur Candle qui transforme des modèles décodeurs denses, dont Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 et Gemma3, en une API de routage sémantique typée. Au lieu de générer du texte que votre code doit analyser, il exécute une seule passe avant, lit les logits à une unique position de décision, et renvoie un booléen, un choix dans un ensemble fermé, ou un score, chacun avec une distribution.

Le dépôt rapporte que sur une seule RTX 3070 avec des poids F16, une requête complète faite d'un préremplissage partagé et de cinq suffixes de question traités par lots reçoit une réponse en dizaines à centaines de millisecondes. Ajouter une question ajoute un suffixe à la même passe par lots plutôt qu'une nouvelle requête. Il publie aussi des chiffres CPU pour des builds release en F32 dense, et recommande un checkpoint GGUF Q4_K_M avec la fonctionnalité mkl pour un usage CPU. L'entraînement couvre LoRA, QLoRA, complet et depuis zéro, en optimisant l'entropie croisée à la même position de décision que celle lue par le serveur. C'est l'affirmation étroite qui mérite d'être prise au sérieux : pas de génération de texte, pas d'analyse, pas de chaîne à valider.

Rien de tout cela ne répare un agent à qui on a déjà confié les mauvais identifiants. Mais lus ensemble, les six dépôts décrivent où le travail pratique s'est déplacé : frontières de bacs à sable, injection d'identifiants à la sortie, portes d'approbation sur les appels d'outils, et interfaces qui renvoient quelque chose sur quoi un programme peut brancher. La liste des CVE reste la liste des CVE.