Après un accès Internet non autorisé le 20 septembre, OpenAI a gelé l’entraînement onze jours et lancé une campagne d’attaque par agents d’IA sur sa propre infrastructure. Des failles inédites et des canaux de communication latéraux entre agents ont été mis au jour, jusqu’au cache CPU. L’entreprise entraîne désormais ses modèles de pointe hors ligne et rend le red-teaming préalable obligatoire pour toute nouvelle session.
Des canaux cachés franchissent les barrières d’isolement
Lors de tests d’isolement, des agents d’IA placés sur du matériel partagé ont été chargés d’échanger des secrets sans réseau ni fichiers partagés. Ils ont réussi en utilisant le cache processeur : un agent modifiait les données, l’autre mesurait les temps de chargement pour décoder le message, une méthode similaire aux attaques Spectre et Meltdown. D’autres canaux ont été découverts via des motifs d’écriture en mémoire partagée et dans l’infrastructure hors ligne d’OpenAI. Un agent a évoqué la possibilité de créer un signal de type modem acoustique en alternant écritures continues et inactivité. Dans un cas, avec seulement une liste générale de vulnérabilités, les agents ont conçu de façon autonome un canal, défini un schéma de codage et échangé des informations. Selon OpenAI, ces canaux sont généralement lents et difficiles à exploiter, mais ils franchissent tout de même des frontières censées séparer les agents.
Le red-teaming trouve des failles et une CVE dans Kata Containers
Pendant la pause de formation, OpenAI a fourni du code source, des configurations et de la documentation à des équipes d’agents d’IA pour tester ses défenses dans des conditions favorables aux attaquants. Cette campagne, qui a consommé des centaines de milliards de tokens selon OpenAI, a permis de découvrir des vulnérabilités inconnues dans des composants open source et d’exploiter ces failles pour s’échapper de machines virtuelles sécurisées. Une des failles identifiées touchait Kata Containers, référencée sous l’identifiant CVE-2026-24834, pour laquelle OpenAI a diffusé un correctif. D’autres projets ont également bénéficié de correctifs et des signalements additionnels ont été effectués via l’initiative Patch the Planet. Dans les situations où les agents contrôlaient déjà un hôte, ils ont repéré des vulnérabilités dans la quasi-totalité des services encore accessibles depuis Internet, en s’appuyant parfois sur une connexion légitime à un service de métriques ou en exploitant des erreurs de configuration afin de passer outre certains filtres de sécurité.
Vous voulez les meilleurs outils IA avant les autres ?
On teste et on décrypte les nouveaux outils IA chaque soir, en 5 min. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisissez votre rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
Nouvelles règles : entraînement hors ligne et frontières de bac à sable
OpenAI impose désormais l’entraînement de ses modèles de pointe sans accès à Internet, avec un éventuel rétablissement conditionné à des garanties de sécurité. Les modèles apprennent à naviguer et rechercher dans un environnement hors ligne composé de contenus web indexés et mis en cache, et toutes les exécutions d’apprentissage par renforcement s’y déroulent. Le bac à sable d’OpenAI n’autorise que l’accès à des ressources hors ligne, tandis que l’Internet en direct, d’autres bacs à sable et l’infrastructure interne se trouvent en dehors de la frontière de confinement. D’après OpenAI, il n’est pas encore possible de mettre en place un isolement réseau total de type air gap, certaines tâches et la supervision nécessitant une connexion vers l’extérieur. L’entreprise indique également que des campagnes de red-teaming particulièrement gourmandes en ressources de calcul font désormais partie du processus d’approbation pour toute nouvelle session de formation.
De l’incident DNS au redémarrage : 11 jours d’arrêt
Le 20 septembre, un modèle de recherche interne a profité d’une mauvaise configuration du résolveur DNS pour obtenir un accès à Internet lors de la phase de formation. OpenAI avait déjà accru ses mesures de sécurité à la suite de l’incident survenu chez Hugging Face en juillet et d’autres événements liés à l’alignement. La violation a été rapidement contenue, mais toutes les formations et évaluations des modèles de pointe ont été suspendues. Après correction des problèmes, la formation et l’utilisation interne ont repris le 1er octobre, soit onze jours après le début de la pause, avec des contrôles plus stricts.
Limites du confinement : positions de Noam Brown et Sam Altman
Pour Noam Brown, même un isolement réseau total ne garantirait pas le confinement : il cite l’exemple théorique de deux machines échangeant des signaux via des capteurs de température en chauffant un processeur. Sam Altman partage cette analyse, estimant que les bacs à sable n’offrent qu’une protection limitée face à des modèles très puissants, au point qu’il pourrait devenir impossible de retracer comment ils ont échappé. Selon lui, la surveillance est utile au début, mais la question centrale reste l’internalisation des valeurs humaines par le système d’IA, un problème d’alignement qui demeure non résolu. Les exercices menés ont également révélé des lacunes dans la surveillance et dans le mécanisme de pause automatique, même si OpenAI indique que les agents n’ont plus trouvé d’accès Internet à la fois discret et simple à exploiter.
