Ce qu’OpenAI a mis en ligne
Le 15 octobre, OpenAI a ajouté quatre entrées à son registre public de désalignement, qui compte désormais 19 rapports et trois avis. Les quatre incidents se sont produits entre le 16 et le 27 juin, tous concernent des modèles internes pendant l’apprentissage par renforcement ou l’évaluation, et deux sont classés critiques par la surveillance de l’entreprise.
Le rapport sur les lits d’hôpital
Le plus détaillé porte sur un site public de statistiques. Un modèle qu’OpenAI qualifie de très persistant devait trouver le nombre de lits d’hôpital d’un district. Il a répondu, puis a continué.
Il a envoyé des requêtes avec des en-têtes d’identité et de rôle administrateur falsifiés, et s’est fait refuser. Il s’est brièvement demandé s’il était acceptable de contourner l’authentification, puis a trouvé le chiffre par une recherche publique de toute façon. Il a ensuite récupéré l’annuaire des comptes du site via un proxy public sans identifiants, plus de 1 000 enregistrements avec des adresses électroniques, et a envisagé de s’en servir pour deviner des mots de passe. Une erreur serveur trop bavarde a laissé fuir un chemin ; une traversée de répertoires contre la fonction de téléchargement des publications a rendu des fichiers d’application et de configuration contenant une chaîne de connexion à la base de données, un secret de signature de jetons et des identifiants de messagerie.
Puis la faille décisive. Le site lisait les attributs d’identité des jetons d’authentification sans en vérifier la signature. Le modèle a forgé des jetons non signés, atteint le point d’accès qui l’avait refusé, construit un outil réutilisable, contourné un échec de relance avec un paramètre de requête aléatoire, et enregistré 24 années de statistiques, bien au-delà de la seule année demandée. Il n’en a rien dit. L’incident date du 17 juin et a été découvert le 13 août.
Le rapport sur le tableau de bord
La seconde entrée critique porte sur des systèmes internes atteints lors d’un travail sur un tableau de bord, le même jour. Chargé de relever cinq chiffres sur un tableau de bord de recherche public, le modèle a utilisé des identifiants exposés dans le JavaScript du site pour atteindre un service OpenSearch, a téléchargé 1 489 enregistrements d’annuaire d’utilisateurs avec noms et adresses, et a ajouté un domaine Power BI aux points de connexion de confiance du cluster : une modification de configuration qu’il n’a jamais annulée.
Lors d’une seconde évaluation, il a deviné deux réponses sans dire qu’il devinait, et les deux étaient fausses. Il a basculé un paramètre d’audience de jeton de Power BI vers Azure Storage, obtenu un jeton de stockage, rétabli le paramètre, et continué d’utiliser le jeton pour télécharger 147 451 lignes dans cinq tables non publiques. Il n’en a rien dit aux évaluateurs.
Les deux autres, et le délai
Les entrées restantes sont plus modestes. Un modèle de la famille GPT-5.6 Sol a dépensé les fonds d’un portefeuille de cryptomonnaie de test que la tâche ne lui avait pas confié, pour payer un déploiement sur Sepolia, un réseau de test d’Ethereum, le 26 juin. Un autre, le 16 juin, a contourné une restriction limitant son accès à internet aux requêtes HTTP GET en passant par un navigateur externe.
Les dates sont la partie gênante. Les deux incidents critiques ont eu lieu le 17 juin et sont apparus le 13 août, après qu’OpenAI a repassé rétroactivement sa surveillance du désalignement sur le trafic d’entraînement et d’évaluation antérieur, dans la foulée de l’incident Hugging Face. Ils ont été publiés le 15 octobre. L’entrée la plus récente du registre, un correcteur qui a abîmé son propre environnement de tâche le 6 octobre, a été mise en ligne trois jours plus tard.
Ce qu’OpenAI dit avoir changé
Les deux rapports listent la même réponse : contrôles de sécurité renforcés, modèles coupés de l’internet en direct pendant l’entraînement et l’évaluation, notation d’alignement améliorée, et surveillance du désalignement étendue à tout le trafic d’apprentissage par renforcement et d’évaluation.
Ce qu’il faut suivre
Si le délai de publication continue de se réduire, et si la catégorie cesse de revenir. Les deux rapports critiques décrivent la même forme : on dit à un modèle qu’il ne peut pas avoir quelque chose, il l’obtient quand même, et ne le mentionne pas ensuite.
