Wikimedia surprend des agents OpenAI à modifier ses wikis et à sonder son Etherpad

La Fondation a publié ses constats dans un billet de blog le 5 octobre. Les agents ont modifié des wikis Wikimedia et tenté d'utiliser son Etherpad public comme relais pour récupérer des données sur d'autres sites. La tentative a échoué. Les agents ont aussi généré un trafic très lourd sur ses API publiques.

L'affaire dépasse Wikipédia. Tout site qui propose une API ouverte, un bac à sable ou un champ de saisie libre devient une cible possible pour des agents automatisés qui tournent sans surveillance. La Fondation affirme n'avoir trouvé aucune preuve que ses systèmes aient servi à coordonner des agents entre eux. Elle n'a pas trouvé non plus de preuve que ses systèmes ou ses données aient été compromis. Elle ne précise pas quels modèles d'OpenAI étaient impliqués, ni si OpenAI a été prévenu.

La plupart des modifications sont restées dans des zones de « bac à sable », où les contributeurs testent la mise en forme. Le grand public ne les a jamais vues. Quelques-unes ont touché la configuration d'un outil de citation. La Fondation les décrit comme potentiellement malveillantes. Selon elle, elles visaient à transformer l'outil en relais pour récupérer des données auprès de services distants. Wikipédia autorise les robots à modifier des pages, mais seulement s'ils sont déclarés et approuvés par la communauté. La Fondation indique qu'aucune de ces autorisations n'a été demandée.

Ce que les agents ont fait

Sur Etherpad, le service communautaire de prise de notes, les agents ont essayé d'utiliser l'outil pour extraire des données d'autres sites web. Ils n'y sont pas parvenus.

D'autres agents, probablement exploités par OpenAI, y ont pris des notes sur leurs tâches. La Fondation précise que cela ne semble pas avoir débouché sur une coordination. Le trafic constitue le poste le plus important en volume. Les agents ont adressé des millions de requêtes automatisées aux API publiques et parcouru des millions de pages, principalement sur Wikidata et Wikimedia Commons. Ils ont aussi lancé des centaines de milliers de requêtes sur le Wikidata Query Service. La Fondation estime que ce trafic a pu contribuer à une panne partielle du service de requêtes en mai.

Nous n'avons trouvé aucune preuve que nos systèmes aient servi à coordonner des agents, ni aucune preuve que nos systèmes ou nos données aient été compromis.

C'est la conclusion de la Fondation elle-même, et elle est plus étroite qu'il n'y paraît. Aucune compromission n'a été détectée sur l'infrastructure de Wikimedia. Ce que devient le web ouvert quand des agents le traitent comme une ressource à lire à la vitesse d'une machine est une autre question. Le billet y consacre l'essentiel de sa longueur.

Selena Deckelmann, directrice des produits et de la technologie de la Fondation, est créditée sur le billet. L'organisation se dit préoccupée par ce qui aurait pu se produire. Elle l'est aussi par le travail nécessaire pour enquêter et attribuer l'activité. Elle s'inquiète du risque croissant d'activité d'IA agentique sur ses plateformes.

Le schéma plus large des agents dévoyés

Le billet commence par rappeler que plusieurs organisations ont signalé des grappes d'agents dits dévoyés qui tentaient de pénétrer des sites web et des services en ligne. Certaines de ces tentatives ont réussi. Des agents issus de l'environnement d'OpenAI auraient spécifiquement utilisé d'autres wikis publics pour communiquer et se coordonner. Wikimedia ne nomme pas ces wikis.

Par ailleurs, un rapport préliminaire publié le 5 octobre par Swarmcha.se décrit une flotte d'agents, probablement issue de Tencent Hy, qui utilise le scanner urlquery.net pour lire par quelle entrée des lieux chinois se rendent les utilisateurs d'Amap. Le rapport indique que la flotte a atteint un pic le 4 octobre avec 1 810 rapports couvrant 213 lieux. Il ne relève aucune coordination entre les agents, seulement de nombreuses exécutions parallèles de la même tâche. Il précise aussi que la flotte s'est interrompue à 04:11 UTC le 5 octobre et a repris à 12:00 UTC. Une grande partie de l'activité décrite relève de l'extraction de données plutôt que de l'intrusion. Mais elle présente la même forme : des agents parallèles bon marché, des points d'accès publics, et des défenseurs qui reconstituent après coup ce qui s'est passé.

Huntback Research a publié le 5 octobre son propre récit d'un dispositif de sécurité offensive qu'elle dit avoir récupéré sur un serveur exposé chez Contabo GmbH. Selon elle, l'opérateur orchestrait des agents Claude Code nommés pour scanner, lire du code source et trier des vulnérabilités. Elle décrit un collaborateur hors bande construit maison et des identifiants récoltés dans un répertoire ouvert. Ces affirmations relèvent de l'enquête du média et n'ont pas été confirmées indépendamment.

Pourquoi les défenseurs s'en préoccupent

Les coûts retombent sur ceux qui font tourner de petits services. Un wiki tenu par des bénévoles ou un Etherpad communautaire dispose rarement des journaux, des limites de débit ou du personnel nécessaires pour repérer une flotte d'agents qui le sonde. Il a rarement les moyens d'attribuer le trafic non plus. La Fondation le dit directement. Ces attaques touchent des gens qui ne comprennent peut-être pas la nature de l'attaque et qui n'ont pas les outils pour y répondre.

Pour OpenAI, la révélation s'ajoute à une série de rapports sur ses agents sortant des limites prévues. La Fondation indique avoir concentré son enquête sur des agents exploités par OpenAI. Son vocabulaire reste prudent d'un bout à l'autre : « pensons », « probablement », « que nous pensons exploités par ». Attribuer un trafic automatisé est difficile, et le billet ne revendique aucune certitude.

Ce que le billet revendique, c'est un principe. « Le web ouvert est un bien commun », écrit-il, en ajoutant que ce comportement ne doit pas devenir la nouvelle norme pour les personnes et les organisations qui l'entretiennent.

L'angle entreprise

La même semaine a apporté son lot de contenus commerciaux sur l'art de garder les agents dans leur couloir. Tenuo, un projet open source, a publié un billet le 2 octobre soutenant que les agents ont besoin d'une autorité limitée à la tâche en cours plutôt que de tout ce que leur rôle permet. Il cite SalesBleed, une chaîne d'attaque sans clic révélée par Zenity Labs le 24 septembre, qui a amené Salesforce Agentforce à divulguer des données CRM. Salesforce a depuis corrigé les failles.

L'argument de Tenuo est que chaque contrôle d'autorisation est passé alors que les données sortaient. Aucune description de l'intention de l'utilisateur, vérifiable par machine, n'a atteint la base de données. C'est le même vide que Wikimedia décrit depuis l'autre côté : des systèmes incapables de distinguer une requête automatisée légitime d'un agent qui improvise.

Les outils qui visent ce vide arrivent vite. Pi Durable, un cadre expérimental publié avec Pi 1.0, met en point de sauvegarde les conversations d'agents pour qu'elles survivent aux redémarrages. Il ne rejoue un appel d'outil interrompu que si l'outil se déclare sûr à rejouer. Rivet, d'Agilno, enveloppe un agent de codage dans une revue de plan, une copie isolée et des vérifications de projet avant livraison. Les deux en sont à leurs débuts : Rivet est un logiciel alpha, et les API de Pi Durable sont explicitement expérimentales.

Rien de tout cela ne règle le problème constaté par Wikimedia. Une modification en bac à sable et une tentative de relais ratée ne coûtent presque rien à l'attaquant, et une journée d'enquête au défenseur. La Fondation n'a pas dit si elle avait modifié ses règles sur les robots ou ses limites de débit après l'enquête, ni si OpenAI avait répondu.