OpenAI présente ses excuses après le piratage d'un site du gouvernement australien par un agent IA rebelle

Promettant de financer les cyberdéfenses et une cellule d'intervention locale face à l'incident

OpenAI a présenté ses excuses suite au piratage d'un site web du gouvernement australien par un agent d'IA rebelle, s'engageant à investir dans le renforcement des cyberdéfenses et à mettre en place une cellule d'intervention locale. Dans un article de blog intitulé « Comment nous allons faire mieux pour l'Australie », le créateur de ChatGPT a reconnu avoir mal géré sa réponse et s'est engagé à assumer ses responsabilités afin de « rétablir la confiance du peuple australien ». Cette intrusion, qui s'est produite en juin mais n'a été rendue publique que la semaine dernière, constitue le premier cas connu d'un agent d'IA piratant un site web gouvernemental. Le gouvernement australien a annoncé une enquête rapide sur cet incident.

En juin 2026, un agent d’OpenAI a piraté un portail du gouvernement australien contenant des statistiques sur le système de santé Medicare, accédant ainsi à des fichiers publics et non publics, a déclaré le Premier ministre Anthony Albanese. Selon les experts, il s'agit du premier cas connu où un agent d'intelligence artificielle (IA) a piraté de manière autonome un système gouvernemental. OpenAI n’a révélé cette intrusion à l'administration australienne qu’en septembre, soit trois mois plus tard. Albanese a qualifié ce retard d'inacceptable et a mis en garde contre des « conséquences juridiques » pour l'entreprise de Sam Altman. Trois autres systèmes gouvernementaux « pourraient » également avoir été touchés ; une enquête judiciaire en matière de cybersécurité est actuellement en cours, bien qu’aucun accès à des données personnelles n’ait été confirmé.

Plus précisément, ce jour-là, un agent autonome d'IA d'OpenAI a infiltré le portail de statistiques de Medicare (le service de santé publique australien géré par Services Australia), ainsi que trois autres plateformes gouvernementales. Cet incident a déclenché une crise diplomatique et cybernétique majeure entre Canberra et le laboratoire américain. L'intrusion a eu lieu le 18 juin 2026 ; OpenAI ne s'en est aperçue qu'en août et a attendu le 10 septembre 2026 pour alerter l'Australie. Le Premier ministre Anthony Albanese a qualifié ce procédé d'« inacceptable ». L'incident prouve que les laboratoires d'IA déploient des agents autonomes sur le web ouvert sans garde-fous suffisants.

Suite à ces événements, OpenAI a présenté ses excuses suite au piratage d’un site web du gouvernement australien par un agent d’IA rebelle, s’engageant à investir dans le renforcement des cyberdéfenses et à mettre en place une cellule d’intervention locale alors que cet incident très médiatisé fait l’objet d’une attention croissante. Dans un article de blog publié il y a peu et intitulé « Comment nous allons faire mieux pour l’Australie », le créateur de ChatGPT a reconnu avoir mal géré sa réponse et s’est engagé à assumer ses responsabilités afin de « rétablir la confiance du peuple australien ».

Cette intrusion, qui s’est produite en juin mais n’a été rendue publique que la semaine dernière, constitue le premier cas connu d’un agent d’IA piratant un site web gouvernemental. Cet incident a alarmé l’Australie, suscitant la condamnation du public et une vive réprimande du Premier ministre Anthony Albanese, qui l’a qualifié d’« inacceptable » et a critiqué le retard pris par l’entreprise pour en informer le gouvernement.

« En juin, lors d’une session interne de formation et d’évaluation, nos modèles ont accédé à des sites web du gouvernement australien d’une manière non autorisée », a déclaré OpenAI dans un article de blog. « Nous aurions également dû mieux gérer notre réponse. Nous sommes désolés et nous nous efforçons de faire mieux à l’avenir. » OpenAI a indiqué qu’un modèle d’IA expérimental avait piraté le « Services Australia Medicare Statistics Reporting Service », un portail de données dédié au système de santé universel du pays, lors d’une activité de formation interne.


« Un modèle d’OpenAI a découvert un moyen d’accéder au service en contournant les mesures de sécurité, et a exécuté des commandes, récupéré des fichiers internes, des identifiants et des statistiques agrégées, puis créé des fichiers », a déclaré la société. Toutefois, son enquête n’a, à ce jour, révélé aucune preuve d’accès à des dossiers médicaux via ce portail, a précisé OpenAI. L’activité de l’agent d’IA ayant affecté trois autres sites web d’agences gouvernementales australiennes n’a pas non plus donné lieu à un accès à des données sensibles, selon la société.

OpenAI a déclaré qu’elle apporterait un soutien spécifique aux agences concernées, qu’elle financerait le renforcement des cyberdéfenses du gouvernement et du secteur privé grâce à son fonds mondial d’un milliard de dollars, et qu’elle mettrait en place un groupe de travail australien chargé d’élaborer des recommandations « en tirant les leçons de ces incidents ». Elle a également confirmé que son directeur de la stratégie, Jason Kwon, témoignerait lors d’une audition de la commission sénatoriale australienne sur l’IA, qui se tiendra à Sydney le 6 octobre.

Le gouvernement australien a annoncé une enquête rapide sur cet incident, visant à examiner les obligations potentielles des entreprises d’IA en matière de notification et de signalement, ainsi que l’adéquation de sa législation face à de telles violations. Par ailleurs, OpenAI a annulé la sortie de son nouveau modèle d’IA GPT-6.1 Astra après que des tests internes ont révélé que le système ne répondait pas aux normes de sécurité de l’entreprise.

Récemment, OpenAI a informé plus de 100 organisations d'incidents liés à des activités non autorisées menées par ses agents d'IA, révélant ainsi l'ampleur d'une enquête en cours visant à déterminer comment ses modèles se sont comportés lorsqu'ils ont eu accès à des systèmes externes. Cette enquête fait suite au piratage accidentel de Hugging Face et vise à déterminer si des incidents similaires se sont produits ailleurs. L'ampleur de cet examen est considérable : OpenAI examine environ 50 pétaoctets de données afin d'établir l'étendue totale des activités impliquant ses agents. La société n'a pas précisé si chaque incident mis au jour avait donné lieu à une intrusion réussie.

Par ailleurs, OpenAI fait l'objet d'une action en justice après que ses modèles d'IA se sont rebellés et ont attaqué la start-up technologique Hugging Face en juillet. La plainte a été déposée par l'association Legal Advocates for Safe Science and Technology (LASST), qui soutient qu'OpenAI est responsable des actions de ses agents d'intelligence artificielle (IA) ; il s'agirait de la première action en justice de ce type. Selon LASST, ce piratage constituait une attaque illégale relevant de la législation californienne. OpenAI a publié un communiqué reconnaissant l'incident, mais a déclaré que cette action en justice était sans fondement.

Source : OpenAI, sur son site officiel

Et vous ?

Pensez-vous que cette information est crédible ou pertinente ?
Quel est votre avis sur le sujet ?

Voir aussi :

OpenAI aurait suspendu l'entraînement de ses modèles d'IA à la suite d'une série d'incidents impliquant des agents IA rebelles, notamment des tentatives d'accès à des systèmes gouvernementaux

Pourquoi ne peut-on pas simplement empêcher les IA malveillantes d'accéder à Internet ? Isoler physiquement l'IA pour l'éloigner des cibles du monde réel rend les tests plus sûrs, mais moins utiles

Arthur Mensch, PDG de Mistral AI, accuse les grandes entreprises mondiales spécialisées dans l'IA d'utiliser le débat sur la sécurité de cette technologie pour masquer leur « négligence »