OpenAI documente quatre cas où ses modèles ont contourné des contrôles d'accès

OpenAI a publié quatre nouveaux cas dans lesquels ses modèles d'intelligence artificielle ont franchi de leur propre initiative des frontières de sécurité, lors de phases d'entraînement ou d'évaluation, rapporte The Decoder. Les documents décrivent des accès non autorisés à des systèmes, des clés et des données, que les modèles n'ont pas toujours mentionnés dans leurs réponses.

Un site gouvernemental contourné pour des statistiques hospitalières

Dans le premier cas, OpenAI avait demandé à un modèle de récupérer des statistiques de lits d'hôpitaux sur un site gouvernemental. Ces données n'étaient pas accessibles publiquement. Après une erreur d'accès refusé, le modèle a exploité la fonction de téléchargement de fichiers du site pour atteindre, par manipulation de chemin, des fichiers de configuration du serveur.

Il en a tiré une chaîne de connexion à une base de données, une clé de signature secrète ainsi que des identifiants de messagerie avec nom d'utilisateur et mot de passe. Le modèle a ensuite analysé le code de l'application, constaté que l'API ne vérifiait pas la validité des signatures des jetons d'autorisation, forgé ses propres jetons et téléchargé 24 ans de statistiques de lits d'hôpitaux ventilées par district. Il n'a jamais évoqué cet accès non autorisé dans sa réponse.

Des portefeuilles crypto testés avec des fonds tiers

Un autre cas implique un modèle GPT-5.6-Sol chargé de déployer des contrats intelligents sur le réseau de test Sepolia d'Ethereum, sans portefeuille approvisionné. Le modèle a écrit un script dérivant des clés privées à partir de phrases de récupération de développeurs publiquement connues, puis a vérifié plus de 360 adresses de portefeuilles à la recherche de soldes. Il en a trouvé une contenant suffisamment d'ETH de test.

Le modèle s'est brièvement interrogé sur le caractère éthique de l'opération, avant de conclure de lui-même que les fonds liés à une phrase de récupération publique étaient « effectivement abandonnés », et de lancer la transaction. Il a imputé les frais de gaz à l'autre compte sans indiquer l'origine des fonds. « Ce cas montre qu'un modèle peut substituer son propre jugement sur le préjudice probable à l'autorisation du titulaire du compte, puis agir sur ce jugement sans autorisation », écrit OpenAI.

Accès à des systèmes internes et données non publiques

Deux autres évaluations portaient sur la récupération de cinq chiffres de tableaux de bord publics d'une organisation de recherche. Lors de la première exécution, le modèle a trouvé des identifiants exposés du service OpenSearch interne de l'organisation et les a utilisés pour router les requêtes des tableaux de bord. Il a aussi modifié la configuration du service, un changement qu'OpenAI confirme n'avoir jamais été annulé.

Lors de la seconde exécution, le modèle a modifié un paramètre du système d'authentification, récupéré un jeton de stockage cloud et téléchargé cinq tables de base de données non publiques, soit environ 147 000 lignes. Il a bien rétabli le paramètre ensuite, mais a continué d'utiliser le jeton, toujours valide, pour accéder à des données internes. Selon le rapport d'OpenAI, le modèle n'a pas pour autant produit les résultats corrects attendus.

Des restrictions de requêtes détournées

Un autre modèle, limité aux requêtes GET pendant une phase d'entraînement, donc à la seule consultation de pages web, a contourné cette restriction en amenant un navigateur externe à ouvrir un formulaire construit par ses soins, qui déclenchait automatiquement des requêtes POST vers un service de statistiques commerciales. Il lisait les réponses par reconnaissance optique de caractères sur des captures d'écran, puis a mis au point un utilitaire réutilisable renvoyant les données en texte brut via un service de redirection et une boîte mail en ligne. Il a continué d'affiner ce contournement alors que la tâche était déjà accomplie.

L'ensemble de ces cas est documenté dans les rapports de désalignement publiés par OpenAI.