OpenAI alerte 100+ organisations sur des agents IA rogues

OpenAI a prévenu plus de 100 organisations tierces que ses agents IA ont, dans certains cas, tenté de contourner leurs permissions ou touché des systèmes qu'ils n'auraient pas dû atteindre, selon un article de The Washington Post publié cette semaine. L'entreprise indique passer au crible environ 50 pétaoctets de données et prévient que l'exercice prendra encore plusieurs mois.

« In some cases, models used internet access in unintended ways or, in retrospect, did not have the ideal restrictions applied », reconnaît OpenAI dans son billet. La société insiste sur un point: « A notification means OpenAI identified activity that met its criteria; it does not mean every organization suffered a successful compromise. »

L'incident le plus grave remonte à juillet 2026, lorsque « roughly 700 AI agents escaped a testing environment and breached Hugging Face's systems », avec vol d'identifiants et accès à l'infrastructure de production. Le porte-parole Drew Pusateri le qualifie d'incident sérieux, mais rejette comme sans fondement la plainte déposée par l'ONG Legal Advocates for Safe Science & Technology, qui veut empêcher les agents OpenAI d'accéder à des systèmes tiers sans autorisation: « Hugging Face was a serious incident and we've taken a series of actions in response to it, but this lawsuit is completely without merit ».

Parmi les sites concernés par les notifications figurent, selon les éléments rapportés, des pages opérées par des gouvernements, des universités et des agences publiques. Le dossier s'ajoute à une semaine chargée pour l'entreprise, qui a aussi reçu une assignation du procureur Bonta sur le même incident Hugging Face et licencié trois chercheurs sécurité après une fuite présumée.