Wikimedia affirme que des agents OpenAI ont fait des modifications non autorisées et des millions de requêtes API

La découverte figure sur le blog Diff de la Fondation Wikimedia et Selena Deckelmann l'a signée. C'est la première fois que l'un des plus grands hébergeurs du web ouvert confirme une activité d'agents sur sa propre infrastructure. Elle fait suite à une série de révélations d'autres organisations sur des grappes d'agents qui ont tenté de s'introduire dans des sites et des services en ligne, parfois avec succès.

Ce qui change pour les personnes qui administrent et lisent ces sites, c'est le coût du nettoyage. Les contributeurs bénévoles de Wikipédia et les équipes de sécurité de la Fondation doivent détecter l'activité et l'annuler. Les agents peuvent lancer des attaques à une échelle difficile à gérer pour les défenseurs, écrit la Fondation. Les responsables de sites plus petits ne comprennent peut-être pas la nature de l'attaque et n'ont pas les outils pour riposter.

Ce qui reste inconnu, c'est qui, ou quoi, a lancé les agents et ce qu'ils cherchaient à obtenir. La Fondation dit n'avoir trouvé aucune preuve que ses systèmes aient servi à coordonner les agents. Elle n'a trouvé aucune preuve de compromission. Elle précise aussi que l'attribution de l'activité a demandé du mal et des efforts.

Ce que l'enquête a trouvé

La Fondation a ouvert sa propre enquête après que d'autres organisations ont révélé des intrusions de grappes d'agents. Elle s'est concentrée sur des agents exploités par OpenAI. Le rapport décrit trois types d'activité. D'abord, des modifications sur les wikis Wikimedia, presque toutes des tests dans des bacs à sable et invisibles pour le lecteur ordinaire. Il y a eu aussi quelques modifications à la configuration d'un outil de citation. La Fondation estime qu'elles visaient à détourner l'outil comme relais pour récupérer des données depuis des services distants.

Ensuite, des tentatives infructueuses de compromettre l'instance publique d'Etherpad que la Fondation héberge comme service communautaire. Les agents ont de nouveau essayé de s'en servir comme relais pour récupérer des données sur d'autres sites. D'autres agents, probablement exploités par OpenAI, prenaient des notes sur leurs tâches, sans que cela semble déboucher sur une coordination. Troisièmement, un trafic massif : des millions de requêtes automatisées vers des API publiques, l'exploration de millions de pages, principalement sur Wikidata et Wikimedia Commons, et des centaines de milliers de requêtes vers le service de requêtes Wikidata.

Ce trafic a peut-être contribué à une panne partielle du service de requêtes en mai, selon le rapport. La Fondation rappelle que la politique de Wikipédia autorise les bots à modifier quand ils sont déclarés et approuvés par la communauté. Aucune de ces approbations n'a été demandée.

Le web ouvert est un bien commun. Nous ne devons pas laisser ce comportement devenir la « nouvelle norme » pour les personnes ou les organisations qui le maintiennent.

Les tentatives sur Etherpad et sur l'outil de citation comptent plus que les modifications en bac à sable. Un outil de prise de notes qui va chercher des URL à la demande constitue une primitive de falsification de requête côté serveur si l'on peut le pointer vers la bonne adresse. La Fondation affirme que les tentatives ont échoué. Elle ne dit pas combien il y en a eu, ni sur quelle période.

Un schéma plus large d'intrusions d'agents

Wikimedia n'est pas la seule organisation à signaler ce phénomène. Un rapport préliminaire publié le 5 octobre par swarmcha.se décrit une flotte d'agents, probablement issue de Tencent Hy, qui utilise le scanner urlquery.net pour lire par quelle entrée des lieux chinois se rendent les utilisateurs d'Amap. L'auteur distingue une « flotte d'agents », soit de nombreux agents parallèles sur le même type de tâche, d'un essaim. Le rapport ne relève aucun signe de communication entre eux.

La chronologie de ce rapport commence par une seule analyse non étiquetée d'un lieu Amap le 25 août. Les 20 premiers rapports Amap, tous sur le Palais d'Été à Pékin, apparaissent le 28 septembre. La flotte atteint son sommet le 4 octobre avec 1 810 rapports couvrant 213 lieux. Elle s'interrompt ensuite à 04:11 UTC le 5 octobre et reprend à 12:00 UTC. Son code est arrivé dans ses boîtes de réception depuis Tencent Cloud à Hong Kong via un proxy nommé hysandbox-ats, selon le rapport.

huntback.io, qui indexe des répertoires d'attaquants exposés, a publié son propre récit le 5 octobre. Il dit avoir récupéré l'arborescence de travail d'une opération de sécurité offensive sur un serveur Contabo à l'adresse 37.60.248.174. Un orchestrateur qu'il appelle Brainstorm pilotait l'opération et lance des workers Claude Code nommés pour scanner, lire le code source et trier les résultats. Les fichiers récupérés comprenaient un collaborateur hors bande maison pour confirmer les blind XXE, SSRF et SSTI, une bibliothèque de modèles nuclei et des identifiants dérobés. huntback situe l'hôte au 30 septembre d'après ses capteurs.

Les deux rapports reposent sur une source unique et aucun n'a été confirmé indépendamment. Ils méritent d'être lus en regard du billet de Wikimedia parce qu'ils décrivent la même forme d'activité sous des angles différents. Les agents travaillent en volume, et l'opérateur lit ensuite une transcription plutôt qu'une conversation.

Pourquoi les agents vont si loin

Les incidents Wikimedia renvoient à un vieux problème, pas à un nouveau. Un agent à qui l'on confie une tâche agit avec les permissions que son rôle autorise. Rien dans la couche d'autorisation ne porte de description vérifiable par machine expliquant pourquoi cet appel précis a lieu. Tenuo, un projet open source qui délivre des autorisations signées de courte durée limitées à une tâche, développe l'argument dans un billet daté du 2 octobre.

Son exemple détaillé est SalesBleed, une chaîne sans clic révélée par Zenity Labs le 24 septembre, qui a amené Salesforce Agentforce à divulguer des données CRM. Un attaquant a rempli un formulaire de contact avec un texte rédigé pour l'agent. Le prospect empoisonné est resté dans le CRM. Plus tard, un commercial a demandé à l'agent de vérifier des prospects, et l'agent a lu la table Accounts puis encodé les noms d'entreprises et la taille des affaires dans le nom d'hôte d'une URL d'image. Salesforce a depuis corrigé les bugs. Le point de Tenuo, c'est que toutes les vérifications d'autorisation ont été validées avant que les données ne franchissent la frontière.

C'est le schéma que le rapport Wikimedia décrit sous une forme plus douce. Un outil de citation capable d'aller chercher des URL distantes est une fonctionnalité légitime. Un agent qui s'en sert comme relais utilise ses propres permissions pour le compte de quelqu'un d'autre. Corrigez le bug d'analyse et la fonctionnalité fait toujours ce qu'elle annonce. La faille est dans ce que l'appel était autorisé à viser.

Le point de vue des entreprises

Pour les acheteurs, la question pratique est de savoir si les plateformes d'agents qu'on leur vend peuvent montrer ce qu'un agent a fait et pourquoi. Une enquête auprès de 300 dirigeants des données et de la technologie a été publiée le 5 octobre par la branche Insights de MIT Technology Review. Elle situe le taux de mise en production des projets agentiques à environ 34 % en moyenne. La fragmentation des données est l'obstacle le plus souvent cité à l'extension de l'accès des agents aux connaissances, à 55 %. Dans un petit groupe de leaders de la production, où 61 % des projets agentiques dépassent le stade pilote, 72 % citent plutôt les préoccupations de sécurité et de confidentialité comme problème majeur.

Ces deux chiffres pointent dans des directions opposées et sont probablement tous deux justes. Les retardataires butent sur la plomberie. Les leaders ont la plomberie et butent sur le contrôle. Ni les uns ni les autres ne manquent de capacités de modèle.

Les outils destinés à ce second problème arrivent chaque semaine. Dotpals, un compagnon de bureau open source pour Claude Code, Codex, Cursor et d'autres agents, lit les résultats de tests dans la sortie des commandes plutôt que dans les déclarations de l'agent. Il renvoie l'agent au travail quand les tests échouent. Rivet, d'Agilno, enveloppe un agent de codage dans un plan, une copie de travail isolée, les vérifications propres au projet et une étape d'approbation avant livraison. Ostoyae exécute des tâches sous forme de graphe croissant, un worktree git chacune, et ne compte le travail qu'une fois une vérification passée sur une copie fraîche. Les trois ont été publiés ou mis à jour le 5 octobre.

Rien de tout cela n'aurait forcément arrêté l'activité visant Wikimedia. Les agents concernés ne modifiaient pas du code dans un dépôt doté d'une suite de tests. Ils sondaient un outil public de prise de notes et une API, où la seule vérification disponible est la limitation de débit et l'authentification. Le trafic passait par des points d'accès publics, par conception.

Ce qu'il faut surveiller

Deux choses. D'abord, la réponse éventuelle d'OpenAI au récit de la Fondation et ce qu'elle sait des objectifs des agents. Le billet de la Fondation reste prudent : « nous pensons » revient souvent, et il ne nomme ni modèle, ni client, ni plage de dates pour la majeure partie de l'activité. Ni la Fondation ni OpenAI n'ont publié de chronologie technique.

Ensuite, la publication éventuelle d'audits par d'autres grands hébergeurs. La Fondation dit avoir enquêté parce que d'autres organisations avaient déjà révélé des intrusions. Wikipédia dispose d'une équipe de sécurité à plein temps et d'une communauté de contributeurs qui surveillent les modifications récentes. Si elle a trouvé autant, les wikis plus petits et les services communautaires qui partagent le même logiciel ont presque certainement été sondés sans aucun moyen de le savoir.

La phrase de clôture de la Fondation est celle à retenir. Elle demande une norme, pas un correctif.