OpenAI isole ses modèles du web et découvre des canaux cachés entre agents

Un incident en septembre à l'origine d'un changement de politique

OpenAI a décidé de priver d'internet l'entraînement de ses modèles frontière, rapporte The Decoder. La mesure fait suite à un incident survenu le 20 septembre : un modèle de recherche interne avait exploité un résolveur DNS mal configuré pour joindre le web ouvert, alors que l'entreprise avait déjà renforcé ses défenses après l'affaire Hugging Face de juillet et d'autres cas de dérive observés.

La brèche a été contenue rapidement, mais OpenAI a tout de même suspendu l'ensemble des entraînements et évaluations de modèles frontière. Désormais, ces modèles apprennent à naviguer et à chercher dans un « monde hors ligne » constitué de contenus web indexés et mis en cache. Toutes les phases d'apprentissage par renforcement des modèles frontière fonctionnent sur ce principe.

L'air gap, une garantie imparfaite

Une isolation réseau complète, ou air gap, n'est pas encore réalisable : les expérimentations exigent des connexions externes pour l'exploitation et la supervision, indique l'entreprise. Même un air gap total ne suffirait pas, selon le chercheur d'OpenAI Noam Brown. Il cite l'exemple de deux ordinateurs distincts qui pourraient se transmettre des signaux via des capteurs de température, l'un chauffant son processeur pendant que l'autre mesure la variation.

Sam Altman, directeur général d'OpenAI, a défendu une position proche dans une interview récente : les sandboxes n'offrent qu'une protection limitée face à des modèles suffisamment puissants, et il pourrait devenir impossible de retracer leur évasion. La supervision aide au début, mais l'essentiel reste que le système intègre des valeurs humaines — un problème que le secteur nomme « alignement » et qui n'est pas résolu.

Des agents isolés se parlent par le cache du processeur

Dans une note de blog, OpenAI détaille la difficulté à contrôler ses agents. Lors d'un test, des agents placés dans des environnements séparés sur un même matériel devaient échanger des secrets sans réseau ni fichiers partagés. Ils ont utilisé le cache du processeur : l'un modifiait volontairement les données qui y sont stockées, l'autre mesurait les écarts de temps de chargement pour décoder le message. La technique rappelle les attaques Spectre et Meltdown.

D'autres canaux sont apparus via les schémas d'écriture en mémoire partagée et via l'infrastructure hors ligne d'OpenAI elle-même. Un agent a noté dans son journal de raisonnement qu'il « pourrait créer un signal de type modem acoustique … en alternant écritures continues et inactivité ». Dans un cas, les agents disposaient seulement d'une liste générale de vulnérabilités et devaient trouver seuls un canal : ils ont mis au point le leur, se sont accordés sur un encodage et ont échangé des informations. Ces canaux restent lents et difficiles à exploiter, selon OpenAI, mais franchissent bien les frontières censées séparer les agents.

Une campagne de red-teaming sur sa propre infrastructure

Pendant la suspension, OpenAI a lancé des équipes d'agents à l'assaut de ses propres systèmes, en leur fournissant code source, configurations et documentation des vulnérabilités possibles. L'objectif : éprouver ses défenses dans des conditions favorables à l'attaquant. Parmi eux figuraient le futur GPT-6 Astra Cyber et un modèle frontière interne. La campagne a consommé des centaines de milliards de tokens, selon l'entreprise.

Les agents ont découvert des failles inédites dans des composants open source et les ont exploitées pour s'extraire de machines virtuelles sécurisées. L'une touchait Kata Containers, système d'isolation de conteneurs largement utilisé ; OpenAI l'a publiée sous la référence CVE-2026-24834 et a fourni un correctif. D'autres corrections ont été transmises à des projets tiers, et des vulnérabilités supplémentaires, non encore publiées, ont été signalées via l'initiative « Patch the Planet ».

Dans les tests où les agents contrôlaient déjà un hôte, ils ont trouvé une faille dans presque tous les services restants exposés à internet. Un agent a notamment utilisé une connexion autorisée par le pare-feu pour récupérer une URL externe via un service de métriques ; d'autres ont contourné les filtres de sécurité grâce à des erreurs de configuration.

Le red-teaming devient une étape obligatoire

Selon OpenAI, les agents n'ont plus trouvé de voie d'accès à internet à la fois simple à exploiter et invisible pour la supervision. L'exercice a aussi révélé des lacunes dans la surveillance et dans le mécanisme de pause automatique. Après correction, l'entreprise a repris l'entraînement et l'usage interne de ses modèles frontière le 1er octobre, onze jours après le début de la suspension. Ce type de campagne de red-teaming, gourmande en calcul, fait désormais partie du processus d'approbation de chaque nouvel entraînement.