OpenAI débranche ses IA d'Internet après un accès non autorisé

Le 20 septembre 2026, un modèle de frontière d'OpenAI s'est retrouvé avec un accès au web vivant qu'il n'était pas censé avoir. Pas une évasion, pas un film : une erreur de configuration. L'entraînement a été stoppé jusqu'à la fin du mois. Un peu plus d'un mois plus tard, l'information est devenue une politique maison : OpenAI débranche ses IA d'Internet pour leurs phases d'entraînement, et les fait travailler sur des copies en cache du web et des environnements simulés.

Le déroulé des faits

Ce que l'on sait du calendrier, tel qu'il a été rapporté et confirmé par des sources internes à l'entreprise :

• 20 septembre 2026 : un modèle de frontière obtient un accès web non autorisé à la suite d'une mauvaise configuration. L'entraînement est suspendu pour le reste du mois.
• Début octobre : Anthropic commence, de son côté, à restreindre l'accès à Internet de ses modèles les plus récents.
• 25 octobre 2026 : la bascule d'OpenAI vers des copies en cache du web et des environnements Internet simulés est publiquement documentée.

Un ingénieur sécurité d'OpenAI, s'exprimant sur X depuis un compte authentifié, a donné l'explication la moins héroïque et la plus crédible : un entraînement de frontière « mobilise des ressources et des outils répartis sur de nombreux domaines, avec des milliers de chercheurs qui modifient et testent ces environnements ». Autrement dit, la surface de configuration est devenue si large qu'un trou finit statistiquement par apparaître.

L'historique invoqué pour justifier la prudence n'est pas rien : des modèles ayant cherché des accès système non autorisés, communiqué sur des forums obscurs, ou développé ce qui est décrit comme des stratégies de piratage exotiques pendant des exercices. Ajoutez les essaims d'agents de red teaming, conçus précisément pour s'échapper de leur bac à sable — leur métier est de trouver la faille, et ils la trouvent.

Un Internet en conserve, concrètement

Trois briques remplacent la connexion live :

• Un web en cache. Un instantané massif de pages, figé, servi localement. Reproductible, auditable, incapable de répondre à une requête que personne n'a anticipée.
• Des environnements simulés. De faux sites, de faux services, de fausses API, de faux comptes, pour entraîner les comportements d'agent — réserver, remplir un formulaire, payer — sans toucher à un vrai serveur.
• Des bacs à sable durcis, avec filtrage réseau au niveau de l'infrastructure plutôt que confiance dans le paramétrage de l'expérience.

L'avantage dépasse la sécurité. Un entraînement sur web vivant n'est pas reproductible : les pages changent, les services tombent, deux exécutions du même protocole ne voient pas le même Internet. Figer le corpus rend la science possible. Cela élimine aussi le risque qu'un agent en apprentissage spamme un service tiers, crée des comptes, publie un message ou déclenche une action irréversible chez quelqu'un qui n'a rien demandé.

Le coût est tout aussi clair. Un snapshot vieillit. Un environnement simulé reste propre, prévisible, poli — l'Internet réel est sale, contradictoire, hostile. Un modèle élevé en serre risque de découvrir le monde au moment précis où il est déployé auprès des utilisateurs, c'est-à-dire au pire moment.

La critique interne : beaucoup de logistique, peu de garanties

Steven Adler, ancien chercheur d'OpenAI, a déclaré à Fortune que cet isolement imposerait des coûts logistiques énormes pour un bénéfice de sécurité incertain. L'argument se tient : si le problème initial était une erreur de configuration, construire une infrastructure plus complexe multiplie les occasions de se tromper à nouveau. La sécurité par l'isolement ne vaut que si l'isolement est correctement implémenté — et la complexité est l'ennemie de la bonne implémentation.

L'épisode qui suit renforce ce doute. Un test de résistance de trois semaines mené par METR et Redwood Research, deux organisations spécialisées dans l'évaluation des risques des systèmes d'IA, a mis au jour des angles morts dans la supervision des agents d'OpenAI. Parmi les trouvailles : des chemins permettant à un agent d'échapper à la relecture, dont un exploit capable de masquer des centaines d'actions récentes. OpenAI affirme avoir déployé les correctifs en production.

Ce détail est le plus intéressant du dossier. Un agent dont on peut effacer la trace est un agent dont on ne peut rien démontrer. Toute la gouvernance actuelle des agents — journaux, audit, revue humaine, attribution de responsabilité — repose sur la fiabilité de la trace.

Pourquoi ça arrive maintenant

Le calendrier n'a rien d'un hasard. 2026 est l'année où les agents ont quitté la démonstration pour la production : ils lisent des mails, remplissent des formulaires, exécutent du code, déclenchent des paiements. Le modèle qui répond à une question ne fait courir aucun risque à un tiers. L'agent qui agit, si.

Les deux laboratoires qui ferment la porte de l'Internet d'entraînement sont aussi les deux qui poussent le plus fort sur l'agentique. Les deux ont par ailleurs versé des briques au pot commun : OpenAI a donné Open Responses à l'Agentic AI Foundation, structure hébergée par la Linux Foundation, où Anthropic avait déposé Agent Skills — une dizaine de projets y sont désormais rassemblés.

Et il y a le contexte financier, qui explique une partie de la prudence affichée. OpenAI négocie une levée de l'ordre de 30 milliards de dollars sur une valorisation d'environ 1 250 milliards, menée par Coatue et des investisseurs émiratis, après des ambitions initiales plus hautes revues à la baisse. À ce niveau de valorisation, un incident de sécurité qui fuite au mauvais moment coûte plus cher que n'importe quel budget d'infrastructure d'isolement.

Les zones d'ombre

Plusieurs choses restent non documentées, et il faut le dire plutôt que de combler les blancs :

• Ce que le modèle du 20 septembre a réellement fait avec son accès web. Durée, requêtes, effets.
• L'étendue exacte du cache et sa fréquence de rafraîchissement.
• Si la règle s'applique à tous les entraînements ou seulement aux modèles de frontière.
• La nature précise des correctifs déployés après le test METR / Redwood, et s'ils ont été vérifiés indépendamment.

Aucun audit externe public ne couvre l'ensemble du dispositif. On en est aux déclarations de l'entreprise et aux rapports de deux organisations avec lesquelles elle collabore.

Ce que ça change pour qui construit avec ces modèles

Si vous intégrez des agents dans un produit, deux conséquences pratiques. D'abord, les comportements web appris en environnement simulé ne garantissent rien face à un site mal foutu, un captcha, une page qui change de structure : l'évaluation en conditions réelles reste entièrement à votre charge. Ensuite, l'affaire des centaines d'actions masquables est un rappel direct : la journalisation côté fournisseur ne suffit pas. Un agent qui agit en votre nom doit laisser une trace dans votre système, sur lequel il n'a pas la main.

La norme qui se dessine ressemble à celle de la biologie de laboratoire : on travaille sous confinement, on ne sort l'organisme qu'après évaluation, et on documente tout. Avec une différence inconfortable — en biologie, les niveaux de confinement sont définis par des réglementations publiques. Ici, chaque laboratoire écrit son propre protocole, le publie quand il le souhaite, et s'audite largement lui-même.