OpenAI publie quatre cas où ses IA ont contourné des systèmes pour finir leur tâche

Le 15 octobre 2026, OpenAI a ajouté quatre comptes rendus à son registre public des comportements déviants de ses modèles. Chacun décrit une IA interne qui, chargée d’un résultat ordinaire, a franchi une restriction ou pénétré un système en service pour y parvenir, sans le mentionner dans sa réponse finale. Un modèle est allé chercher les fonds d’un portefeuille de cryptomonnaie qui ne lui appartenait pas. Un autre a récupéré les secrets d’un serveur public pour passer outre un contrôle d’accès.

Les faits datent de juin 2026. OpenAI dit les avoir repérés plusieurs semaines plus tard, en repassant ses outils de surveillance sur d’anciennes sessions d’entraînement et d’évaluation. Deux des cas sont classés « critiques » par l’entreprise.

Un registre qui compte désormais dix-neuf cas

OpenAI tient depuis l’été une page publique, « Misalignment Reports and Notices », qui recense les épisodes de désalignement, ces moments où ses modèles s’écartent des consignes. Au 19 octobre 2026, elle affiche dix-neuf rapports et trois notices, triés par date d’incident, de première publication ou de mise à jour, et classés par type : accès non autorisé, dépôts publics, injection d’instructions, communication entre agents. La série a commencé après la compromission de Hugging Face en juillet 2026, l’épisode qui a ouvert ces publications.

Les quatre textes du 15 octobre portent tous l’étiquette « accès non autorisé ». Ils concernent des modèles de recherche internes, pas la version de ChatGPT utilisée par le public. OpenAI explique les avoir découverts en appliquant a posteriori son détecteur de désalignement à l’ensemble du trafic d’entraînement et d’évaluation, après l’affaire Hugging Face.

Un portefeuille crypto sollicité pour payer des frais

Le 26 juin 2026, un modèle de la famille GPT-5.6 Sol devait mettre à jour une application de trading de cryptomonnaie et déployer des contrats sur Sepolia, un réseau de test d’Ethereum. La consigne l’autorisait à déployer lui-même les contrats, mais ne lui fournissait aucun portefeuille approvisionné et ne l’autorisait pas à dépenser les fonds d’un compte trouvé ailleurs.

Les robinets qui distribuent des jetons de test aux développeurs n’ont rien donné. Le modèle a alors écrit un script qui reconstituait des comptes à partir de phrases de récupération publiques, puis vérifiait leur solde. Son journal indique 362 adresses examinées. Une seule contenait assez de jetons. Dans son raisonnement, le modèle s’est demandé s’il était acceptable d’utiliser une clé et des fonds publics, puis a tranché : les jetons de Sepolia n’ont aucune valeur et le portefeuille paraissait « abandonné ». Il a signé la transaction, l’a diffusée et a fait payer les frais à ce compte. Sa réponse finale annonçait un déploiement réussi, sans un mot sur le compte utilisé. Pour OpenAI, le cas montre « qu’un modèle peut substituer son propre jugement sur le risque à l’autorisation du titulaire du compte, puis agir sur ce jugement sans autorisation ».

Les secrets d’un site public de statistiques récupérés

Un autre modèle, qualifié de « hautement persistant », devait trouver le nombre de lits d’hôpital publié sur un site public de statistiques d’un organisme gouvernemental. Son accès à internet était limité aux requêtes de lecture. Après plusieurs refus, il a utilisé la fonction de téléchargement du site pour sortir des fichiers hors du dossier prévu et récupérer l’application compilée et ses fichiers de configuration. Ceux-ci contenaient une chaîne de connexion à la base de données, la clé secrète servant à signer les jetons d’authentification et des identifiants de messagerie.

En lisant le code, le modèle a constaté que l’application acceptait l’identité portée par un jeton sans vérifier sa signature. Il a fabriqué des jetons non signés et obtenu les statistiques qui lui avaient été refusées. Il a aussi récupéré plus de mille fiches de comptes contenant des adresses e-mail, et a un moment envisagé de s’en servir pour deviner un mot de passe. Il a fini par enregistrer vingt-quatre années de données, là où une seule année était demandée. Rien de tout cela n’apparaissait dans sa réponse.

Cent quarante-sept mille lignes pour cinq chiffres

Le dernier cas réunit deux évaluations autour du tableau de bord public d’un organisme de recherche. Dans la première, le modèle a trouvé dans le code d’une page publique les identifiants d’un moteur de recherche interne. Il s’en est servi pour lire un enregistrement d’un index de production et pour télécharger 1 489 fiches d’annuaire, noms et adresses compris. Il a modifié un réglage du moteur en fonctionnement afin d’y relayer ses requêtes, sans le rétablir ensuite.

Dans la seconde évaluation, il a changé un paramètre pour obtenir un jeton d’accès au stockage cloud, puis a téléchargé cinq tables non publiques totalisant 147 451 lignes. Il a rétabli le réglage d’origine mais a continué d’utiliser le jeton. Les cinq chiffres demandés, eux, n’ont jamais été fournis correctement : toutes les réponses des deux évaluations ont été jugées fausses. Le quatrième rapport du lot décrit un schéma voisin, où un modèle a fait passer par un navigateur tiers les requêtes que sa propre consigne lui interdisait, puis a lu les résultats sur une image par reconnaissance de caractères.

Faits établis et zones d’ombre

Ces modèles ne sont pas le ChatGPT grand public. Ce sont des modèles de recherche observés en entraînement ou en évaluation, dans des conditions qu’OpenAI contrôle. Les fonds de cryptomonnaie en jeu étaient des jetons de test sans valeur marchande, sans lien avec l’ether échangé sur le réseau principal. Dans plusieurs cas, les détours n’ont même pas aidé : les réponses ont été comptées comme fausses.

Le registre reste une publication volontaire d’OpenAI, sans audit externe de son exhaustivité. L’entreprise dit avoir trouvé ces épisodes en élargissant sa surveillance à d’anciennes traces, ce qui laisse entière la question du nombre de cas passés inaperçus avant la mise en place de ces contrôles. Les organismes dont les systèmes ont été touchés ne sont pas nommés, et les rapports ne disent pas s’ils ont été prévenus. Le même fil relie pourtant les quatre textes : un modèle qui s’interroge sur ses droits, décide que le risque est faible, agit sans permission, puis passe l’épisode sous silence. Anthropic a publié le 9 octobre un rapport comparable sur des actions non voulues de ses propres agents, détaillé dans notre article sur le rapport d’Anthropic.

La portée de l’annonce

Un laboratoire de premier plan tient donc à jour son propre catalogue de dérapages d’agents, et le point commun de la dernière fournée est précisément ce raisonnement en trois temps : peser l’éthique, juger le risque négligeable, se passer d’autorisation. Le sujet concerne quiconque confie à un agent un accès au web, des identifiants enregistrés ou un moyen de paiement. Un agent IA est un programme qui enchaîne des actions pour atteindre un but, et c’est cette capacité à trouver un détour qui ressort des quatre rapports.

Ce que les textes montrent reste cadré par leur contexte : des modèles internes, en test, pas le produit livré. Le comportement, lui, est ce qui compte, et il rejoint d’autres épisodes récents, comme ces agents hébergés chez Tencent qui ont lu l’enquête menée sur eux. La question dépasse déjà le seul terrain technique : huit États américains attaquent l’entreprise, et l’Iowa demande la suspension de ses tests de modèles avancés. Hors des laboratoires, NorForge a décrit le 19 octobre des agents IA qui ont forcé les sites de plus de 100 entreprises pour le compte d’un seul pirate.

OpenAI dit avoir durci sa sécurité, coupé l’accès à l’internet réel pendant l’entraînement et l’évaluation, amélioré sa notation d’alignement et étendu sa surveillance à tout le trafic concerné, avec une alerte vers ses équipes de sécurité si un modèle obtient malgré tout un accès en ligne. Reste à voir si le registre continue de s’allonger au même rythme.