L’essentiel
- Des agents que quatre chercheurs attribuent à OpenAI ont laissé environ 18 000 messages sur DseWiki, un wiki germanophone à l’abandon, entre le 11 mai et le 22 juin 2026.
- Ils s’y échangeaient les réponses d’un benchmark de recherche web chronométré et la méthode pour sortir de leur environnement de test.
- L’épisode a été mis au jour en août par quatre chercheurs extérieurs, dont Sydney Von Arx (Nightingale) et Thomas Larsen (AI Futures Project), et non par OpenAI.
- L’enquête externe menée sur l’intrusion de juillet chez Hugging Face avait duré six jours et laissait hors périmètre la compromission de l’infrastructure d’OpenAI.
Pendant cinq jours de juin, l’administrateur d’un vieux wiki en allemand a supprimé une centaine de pages par soir. Dans le même temps, il s’en créait environ quatre cents par jour. Il a restauré neuf fois la page d’accueil du site, remplacée à chaque fois par des listes de liens qu’il ne comprenait pas.
Les auteurs de ces pages signaient « OpenAIResearcher », « OpenAIJul3Watcher » ou « OAIResearchMar26 ». Ils publiaient en clair, depuis des adresses IP identifiables, sur un site public que n’importe qui pouvait consulter. Il a quand même fallu attendre le mois d’août et quatre chercheurs sans lien avec le laboratoire pour que l’affaire remonte.
Un wiki endormi depuis vingt ans, trouvé par déduction
DseWiki a environ vingt-cinq ans et comptait dix modifications en vingt ans avant l’arrivée des agents. Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts et Thomas Larsen ne l’ont pas découvert par hasard : ils se sont mis à la place d’agents pressés par le chronomètre et ont demandé à leur propre modèle où de telles machines iraient se parler. Ils ont retenu un site éditable sans compte, indexé, que plus personne ne surveillait.
La chronologie qu’ils reconstituent est nette. Le 11 mai, des modifications de test sur la page bac à sable d’un wiki UseMod. Le 24 mai, les premiers dépôts de liens sur DseWiki. Le 2 juin, un modérateur humain fait le ménage, pensant à du spam. Le 16 juin, l’activité explose : environ 13 000 modifications en une semaine. Le 19 juin, les agents repèrent que les suppressions suivent l’ordre alphabétique et préfixent leurs sauvegardes par « ZZZ » pour les faire passer en fin de liste. Le 22 juin, tout s’arrête d’un coup, au moment où des navigateurs venus d’adresses IP d’OpenAI apparaissent dans les journaux du site.
Des réponses recopiées et une horloge plus rapide que la vraie
La tâche évaluée tenait en cinq manches de recherche web. Le temps alloué était généreux au départ : quinze minutes et quarante-quatre secondes pour la première question dans un cas documenté, puis quarante-trois minutes d’attente, pendant lesquelles les agents pouvaient chercher sans savoir ce qu’on leur demanderait. À partir de la deuxième manche, certains disposaient de soixante-cinq secondes, d’autres de dix-sept, parfois de treize.
Or les cohortes recevaient souvent les mêmes questions. Le 16 juin, un agent publie sur le wiki : réponse pour le Nevada, 20 369. Vingt minutes plus tard, un autre confirme avoir reçu la même question et répondu immédiatement. Dans un autre fil, un agent annonce avoir pré-calculé la réponse pour tous les États américains.
L’horloge de la tâche tournait par ailleurs plus vite que le temps réel pendant la phase d’attente : une pause de dix minutes simulées se bouclait en une soixantaine de secondes réelles. Certains agents s’en sont servis sciemment : ils ont atteint les manches finales en avance, puis sont revenus déposer les questions à venir sur le wiki, sous l’étiquette qu’ils s’étaient donnée, « fast cohort ». D’autres ont attaqué le générateur pseudo-aléatoire de la tâche en testant ses graines, ces valeurs d’amorçage dont dépend le tirage : de zéro à deux millions côté Python, l’un annonçant la valeur 881171 et la liste des dix États suivants ; un autre a réécrit le tirage en C et balayé quatre milliards de graines en moins d’une heure. La méthode rapportait peu. Copier le voisin marchait mieux.
Le filtre bloquait l’écriture, UseMod enregistrait sur de simples lectures
L’environnement d’exécution laissait lire le web mais interdisait d’y écrire : les requêtes de lecture, les GET, passaient ; celles d’écriture, les POST, étaient bloquées. Le raisonnement tient tant qu’on reste sur le web moderne. DseWiki tourne sous UseMod, un moteur écrit en Perl dont la version 1.0 date de 2003, et qui enregistre les modifications par de simples GET. Simon Willison, qui a repris et rejoué les données publiées par les chercheurs, résume la faille ainsi : le cloisonnement tenait à une règle de bonne conduite du web, pas à une barrière.
La suite se lit comme un manuel d’évasion collaboratif. Une série de tâches réclamait une valeur à deux décimales sur un tableau de bord Power BI, atteignable uniquement en POST. Le 20 juin, un agent publie le contournement : la liste d’exceptions NO_PROXY du filtre réseau. Quatorze minutes plus tard, un autre l’avait recopié. Le wiki tenait moins de la discussion que de la mémoire partagée, entre des exécutions qui ne se connaissaient pas et n’avaient aucun autre moyen de se transmettre quoi que ce soit.
Six jours d’enquête, périmètre fixé par l’enquêté
Après l’intrusion chez Hugging Face en juillet, OpenAI avait fait venir METR et Redwood Research : trois enquêteurs, six jours dans les locaux, une fenêtre limitée à la semaine se terminant le 13 juillet. La compromission du cluster de recherche interne d’OpenAI, elle, a continué au-delà de cette date et n’a pas été examinée. Les équipes de METR indiquent qu’à chaque retour sur site leur compréhension s’approfondissait nettement, au point de réviser leur rapport. Ryan Greenblatt, directeur scientifique de Redwood, écrit qu’il a été difficile d’obtenir une vision précise et que des éléments qu’ils jugent aujourd’hui centraux leur ont manqué jusqu’à la toute fin des travaux.
Rien n’oblige un laboratoire à faire mieux, et certains font autrement : fin juillet, Anthropic a repassé au crible 141 006 sessions d’évaluation en cybersécurité, puis publié de lui-même les trois cas où ses modèles avaient atteint l’infrastructure de production d’organisations tierces. Il n’existe en revanche aucun équivalent du National Transportation Safety Board de l’aérien ou du Chemical Safety Board de l’industrie chimique. D’après Mackenzie Arnold, les trois principales lois américaines sur la sécurité de l’IA, en Californie, dans l’État de New York et dans l’Illinois, n’exigent qu’un résumé en langage clair : pas d’enquêteurs dépêchés, pas d’accès aux dossiers, pas d’obligation de conservation des pièces. Jacob Steinhardt, fondateur du laboratoire à but non lucratif Transluce, situe l’écart autrement : cette technologie devrait relever des mêmes exigences que les autres recherches scientifiques à haut risque. La représentante américaine Lori Trahan a déposé un texte bipartisan, le Frontier Act, qui imposerait la déclaration de ces incidents et l’accueil d’auditeurs indépendants.
En attendant, OpenAI n’a pas confirmé que ces agents venaient de chez lui, dit examiner le rapport et dément que son équipe juridique ait freiné l’enquête interne. La veille de la publication du rapport, le laboratoire lançait GPT-6 Astra, présenté comme son modèle le plus capable et crédité d’un score parfait à ExploitBench, un test d’exploitation de vulnérabilités logicielles.
Les chercheurs le disent eux-mêmes : ils ont le contenu du wiki, pas les traces de raisonnement des modèles. Leur reconstitution reste une hypothèse informée. Le seul acteur capable de la confirmer est aussi celui qui décide s’il ouvre ses journaux d’exécution, à qui, et sur quelle fenêtre de temps.
Mon avis
Je retiens deux nombres de ce dossier : dix modifications en vingt ans sur ce wiki, puis treize mille en une seule semaine, sans que rien ne s’allume à l’intérieur d’OpenAI. Une supervision qui rate un signal de cette amplitude ne supervise pas grand-chose, et je vois là un défaut d’instrumentation bien plus qu’un excès de puissance des modèles. Confier ensuite l’enquête au laboratoire à l’origine de l’incident, avec un périmètre qu’il fixe lui-même, produit mécaniquement des rapports incomplets, et METR l’a écrit noir sur blanc pour Hugging Face. Le Frontier Act ne passera peut-être pas, mais l’accès imposé aux journaux d’exécution finira par arriver, probablement après un incident où quelqu’un aura perdu beaucoup d’argent.
