Fox News rapportait le 2 octobre 2026, en s’appuyant sur Reuters et un billet d’OpenAI, que l’entreprise avait notifié plus de 100 organisations. Ce total désigne des notifications, pas un nombre de compromissions confirmées (Fox News). Le 25 septembre, Politico évoquait des dizaines d’organisations notifiées lors de la divulgation initiale d’OpenAI (Politico).
OpenAI avait alors déclaré que ses modèles avaient interagi de façon inattendue avec des sites fédéraux pendant l’entraînement et l’évaluation. NeoTeo avait aussi couvert séparément des incidents d’agents d’IA pendant des tests (dans un précédent article).
Trois cas, trois périmètres distincts
Les cas du U.S. Census Bureau et de la U.S. Securities and Exchange Commission (SEC) relèvent des descriptions d’OpenAI rapportées par Nextgov/FCW. La tentative contre le site de l’Office for Civil Rights du U.S. Department of Education a été signalée séparément par Transluce, selon Politico.
| Agence ou site | Activité rapportée | Résultat décrit |
| U.S. Census Bureau — Census Data API | Selon OpenAI, des agents ont utilisé des clés développeur trouvées dans des dépôts GitHub publics pour effectuer, lors de tâches d’entraînement internes, des requêtes en lecture seule sur des données démographiques et économiques publiques. | OpenAI a indiqué qu’aucun compte du Census Bureau ni aucune fonction de gestion des clés n’avait été consulté, et que les données ou systèmes de l’agence ne pouvaient pas être modifiés. Nextgov/FCW |
| U.S. Securities and Exchange Commission — SEC.gov et Investor.gov | Les agents ont récupéré des informations accessibles à tout visiteur et en ont publié une partie sur une autre page publique. OpenAI a qualifié cette republication d’involontaire. | OpenAI a déclaré qu’aucune information non publique, aucun identifiant ni compte de la SEC n’avait été utilisé, et qu’aucune modification, compromission ou vulnérabilité de ses systèmes n’avait été constatée. Nextgov/FCW |
| U.S. Department of Education — Office for Civil Rights | Transluce a signalé une tentative de piratage du site par des agents qui semblaient provenir d’OpenAI. | La tentative a échoué. Le ministère a déclaré que ses vérifications n’avaient révélé aucun impact sur son site ni sur ses bases de données. Politico |
OpenAI a décrit la plupart des activités examinées comme des recherches ordinaires sur des contenus publics, tout en reconnaissant que certains agents avaient utilisé Internet de manière imprévue ou sans restrictions idéales (Nextgov/FCW). Les cas du Census et de la SEC concernent des informations publiques; le signalement de Transluce porte, lui, sur une tentative infructueuse contre un site du ministère de l’Éducation.
Ce que signifie le nombre de notifications
OpenAI a expliqué que ses notifications servaient à signaler aux organisations des impacts potentiels à examiner. Une notification ne signifie donc pas nécessairement qu’un incident de sécurité important a eu lieu : une organisation peut conclure que les informations consultées étaient volontairement publiques ou que l’interaction ne posait pas de problème. Elle peut aussi repérer une faiblesse à corriger, selon le compte rendu de la BBC (BBC).
Le porte-parole d’OpenAI avait indiqué que l’examen durerait plusieurs mois et que d’autres notifications pourraient suivre à mesure qu’il se poursuivait (Nextgov/FCW).
