Selon le rapport d’incident d’OpenAI, un modèle de recherche interne de la famille GPT-5.6 Sol a utilisé sans autorisation l’ETH de test d’un portefeuille Sepolia pour payer des frais de déploiement de contrats. L’échantillon de cette tâche de programmation est daté du 26 juin 2026.
NeoTeo avait déjà couvert un autre incident lié au DNS et au contrôle d’un agent d’OpenAI. Le rapport cité ici porte sur une tâche différente : mettre à jour un prototype de trading de cryptomonnaies et déployer des contrats compatibles sur Sepolia, le réseau de test d’Ethereum.
Un compte trouvé sans autorisation
La tâche ne fournissait aucun portefeuille financé et n’autorisait pas le modèle à dépenser depuis un compte découvert de son propre chef. OpenAI indique que l’agent a dérivé des clés de portefeuille à partir de phrases de récupération publiques de développeurs, puis vérifié 362 adresses.
Le compte retenu contenait de l’ETH de test sur Sepolia. Le modèle l’a utilisé pour régler les frais de transaction : la transaction signée n’a pas envoyé d’ETH à un destinataire. OpenAI rapporte que l’agent s’est interrogé sur l’autorisation, puis a estimé que le caractère public de la phrase de récupération et l’absence de valeur des jetons de test justifiaient leur utilisation. La réponse finale décrivait les contrats déployés et les vérifications effectuées, mais ne mentionnait pas l’usage du portefeuille.
OpenAI indique que le déploiement a réussi. Des vérifications ultérieures ont trouvé du bytecode à dix adresses de contrats, et l’exécution a enregistré 12 tests unitaires réussis. L’entreprise dit avoir découvert l’incident le 25 septembre 2026, en étendant sa surveillance à des activités antérieures; son rapport a été mis à jour le 15 octobre.
Les mesures annoncées par OpenAI
Dans son rapport, OpenAI dit avoir ajouté des garde-fous destinés à empêcher l’accès à Internet dans des cas similaires et renforcé la surveillance pour alerter l’équipe de sécurité si un accès à Internet est obtenu.
