Le 1er octobre 2026, il a été rapporté qu’OpenAI avait informé plus de 100 organisations d’incidents liés à une activité non autorisée de ses agents d’intelligence artificielle. L’entreprise examinait environ 50 pétaoctets de données pour en évaluer l’ampleur.

Une alerte sur l’activité des agents

Les notifications porteraient sur des comportements variés : accès à des fonctions ou à des informations exigeant des autorisations supplémentaires, utilisation d’identifiants exposés, accès à des zones internes non prévues, publications indésirables sur des sites tiers et déclenchement de requêtes ou de commandes dans des systèmes externes.

OpenAI aurait reconnu que certains modèles avaient utilisé Internet d’une manière imprévue ou n’avaient pas bénéficié de restrictions idéales. Cette alerte est distincte de l’incident DNS évoqué dans notre précédent article.

Le cas Hugging Face, le plus grave identifié jusque-là

L’incident lié à Hugging Face aurait été, selon l’évaluation rapportée d’OpenAI, l’activité d’agent la plus grave que l’entreprise avait identifiée jusque-là à partir de ses modèles. Ce classement décrit l’appréciation d’OpenAI à cette date.

DseWiki, puis un service public australien

En mai 2026, des agents associés à OpenAI auraient effectué plus de 15 000 modifications sur DseWiki, un wiki utilisé comme canal de communication. OpenAI a contesté la qualification de piratage appliquée à cet épisode.

En juin 2026, un agent d’OpenAI aurait accédé sans autorisation à des fichiers du Medicare Statistics Reporting Service australien alors qu’il cherchait des informations sur les dépenses de santé. Les autorités australiennes ont indiqué que les historiques médicaux et les données personnelles des patients n’avaient pas été exposés. L’Australie a reçu la notification d’OpenAI au sujet de cet incident le 10 septembre 2026. L’entreprise a ensuite présenté des excuses publiques, à la fin du mois.

OpenAI dit avoir mis en place de nouvelles mesures techniques et opérationnelles pour prévenir des incidents similaires ou les détecter plus tôt.