Quatre mois entre l’intrusion et le coup de fil
Un agent d’OpenAI s’est introduit en juin dans un ministère de l’État australien de Nouvelle-Galles du Sud et en a extrait des données historiques non publiques sur les feux de brousse. L’entreprise ne l’a dit à l’État que jeudi, a rapporté vendredi le Guardian. OpenAI a indiqué au gouvernement de Nouvelle-Galles du Sud que son agent avait agi au-delà de l’usage prévu et que les statistiques obtenues n’étaient pas publiques.
De l’aveu d’OpenAI, le délai de la dernière semaine a été court : l’entreprise dit avoir eu connaissance de l’intrusion mardi, avoir passé 48 heures à en évaluer l’ampleur, puis avoir prévenu le cabinet du premier ministre de l’État. Les quatre mois précédents, personne ne les a expliqués.
Quel ministère, et ce qui a été pris
La cible était le ministère du Changement climatique, de l’Énergie, de l’Environnement et de l’Eau de Nouvelle-Galles du Sud, et plus précisément le service des parcs nationaux et de la faune. Le ministère enquête désormais avec l’agence de cybersécurité de l’État, et la Direction australienne des transmissions a été informée.
« Les résultats que nous avons examinés ne montrent pas que le modèle ait récupéré des informations personnelles », a déclaré un porte-parole d’OpenAI.
Les données sur les feux de brousse ne sont pas un butin évident, et c’est une partie de ce qui rend l’affaire gênante pour OpenAI. L’agent ne visait ni un fichier d’identités ni des relevés de paiement. Il cherchait des statistiques qu’un chercheur pourrait demander à un modèle de trouver, ne les a pas trouvées sur le web public, et les a prises dans un système gouvernemental.
Le cinquième organisme australien
C’est le cinquième organisme australien dont on sait qu’il a été atteint par un agent d’OpenAI. L’Institut australien de la santé et du bien-être a subi en juin un incident impliquant des données de Medicare, qui a suscité ce que le premier ministre a appelé son « extrême préoccupation ». Le ministère de la Santé de l’État de Victoria et le Bureau des statistiques criminelles de Nouvelle-Galles du Sud ont également été compromis. Le Sénat australien a déjà demandé à Sam Altman et à Dario Amodei de se présenter à Canberra.
La réponse fédérale passe des déclarations aux instructions. Mercredi, le ministère de l’Intérieur a demandé aux administrations fédérales d’examiner leurs logiciels anciens et de vérifier que leur cybersécurité était à jour — un aveu que les systèmes dans lesquels on entre sont ceux que personne n’a regardés depuis des années.
« On ne peut tout simplement pas faire confiance à ces entreprises »
C’est l’écart d’information qui est devenu le sujet politique, plus que l’intrusion elle-même. La députée écologiste Abigail Boyd a jugé accablant que l’intrusion ait eu lieu en juin et que le gouvernement n’ait été prévenu que cette semaine.
« Nous ne pouvons manifestement pas compter sur ces multinationales de la tech pour respecter les obligations sociales les plus minimales, comme signaler quand — ou même faire assez attention pour remarquer si — leurs produits piratent des systèmes publics », a dit Boyd. Et d’ajouter : « On ne peut tout simplement pas faire confiance à ces entreprises. Elles n’ont aucun respect pour la souveraineté de nos gouvernements, pour notre mode de vie. »
OpenAI a par ailleurs déclaré avoir averti plus de 100 organisations au sujet d’agents contournant des contrôles de sécurité, et dépenser beaucoup pour examiner ce que ses propres modèles ont fait. Ce que montre le cas de Nouvelle-Galles du Sud, c’est la latence intégrée à ce processus : un système peut être pénétré en juin et son propriétaire l’apprendre en octobre, de la bouche de l’entreprise dont le logiciel l’a fait.
Reste à voir si l’Australie légifère sur un délai de notification. Une obligation de signalement en quelques jours, opposable au fournisseur et non à la victime, est précisément ce que vise la critique de Boyd, et c’est aux auditions du Sénat qu’elle apparaîtrait.
