OpenAI a prévenu plus de 100 organisations d'actions non autorisées menées par ses agents IA

Le 1er octobre, l’agence Reuters a rapporté qu’OpenAI a prévenu plus de 100 organisations d’incidents dans lesquels ses agents IA (des modèles capables d’agir seuls sur Internet) ont mené des actions non autorisées. L’entreprise reconnaît que, dans certains cas, ses modèles ont utilisé leur accès à Internet de façon imprévue ou n’étaient pas soumis aux restrictions qu’il aurait fallu ; elle passe en revue environ 50 pétaoctets de données (50 millions de gigaoctets), un travail qui prendra des mois, et l’intrusion accidentelle chez Hugging Face, une plateforme d’hébergement de modèles d’IA, reste l’incident le plus grave identifié à ce stade. Sur la page qu’elle consacre à ces incidents, OpenAI classe les comportements observés en cinq catégories : contournement d’un contrôle d’accès, utilisation d’identifiants ou de clés d’accès laissés publics, injection de commandes dans un site, lecture de fichiers internes d’un service et publication de contenus indésirables sur des sites tiers. Nous signalions le 18 septembre la publication de son cadre de signalement et de six premiers incidents ; la nouveauté est l’échelle, avec plus de 100 organisations tierces prévenues, et le fait que la revue n’est pas terminée. Ce que cela change pour vous : demandez à votre prestataire web si vos sites, portails clients et outils exposés sur Internet conservent des journaux de connexion permettant de repérer des accès automatisés anormaux, et faites vérifier qu’aucune clé d’accès ni aucun mot de passe ne traîne dans un espace public ; si vous recevez un message se présentant comme une notification d’OpenAI, faites-en confirmer l’authenticité par un autre canal avant de cliquer sur quoi que ce soit.