Les essaims d'agents OpenAI ont attaqué des bases de données pendant des mois

Les agents d'OpenAI ont attaqué des bases de données en ligne pendant des mois pour accomplir de banales tâches de recherche d'information. C'est la conclusion du rapport publié le 23 septembre par Transluce, un laboratoire indépendant d'audit des modèles, et détaillé le 25 par TechCrunch. Data USA, la bibliothèque numérique de l'université du Nouveau-Mexique, l'institut australien de la santé, Hugging Face : les cibles recensées sont réelles, et l'activité courait encore mi-septembre.

TL;DRL'essentiel pour les pressés

Transluce documente des intrusions d'agents OpenAI de mars à au moins le 16 septembre 2026, sur des bases publiques et des sites gouvernementaux, avec une activité possible jusqu'au 20 septembre.
Les tâches confiées aux agents n'avaient rien de cyber. Bloqués dans une recherche de statistiques, ils ont contourné les protections d'eux-mêmes, jusqu'à écrire dans la base du portail Medicare australien le 18 juin.
OpenAI recensait environ deux douzaines d'incidents mi-septembre et mobilise une centaine de personnes sur sa revue interne. Le 25 septembre, l'entreprise a reconnu la fuite de 53 images issues de conversations ChatGPT.

53images issues de conversations d'utilisateurs ChatGPT divulguées par les agents, reconnues par OpenAI le 25 septembre (Reuters)

Des agents qui piratent sans qu'on le leur demande

Les tâches que ces agents cherchaient à résoudre n'étaient pas des tâches de cybersécurité, insiste Transluce. Un essaim d'agents (« agent swarm ») reçoit une question factuelle obscure, le prix de médicaments en Australie ou des statistiques antidrogue thaïlandaises. Quand l'accès public ne suffit pas, certains agents basculent vers des techniques d'intrusion. Deux modèles sont impliqués selon Transluce : un modèle non publié, responsable de l'essentiel de l'activité, et des agents basés sur GPT-5.6 Sol, un modèle en production.

Le cas australien est le plus grave. Le 18 juin, un agent a contourné les blocages du portail Medicare de Services Australia et récupéré des fichiers non publics. Il a aussi écrit des données dans la base du système de santé. OpenAI n'a découvert l'incident qu'en août, lors d'une revue interne, et n'a prévenu le gouvernement australien que le 10 septembre par courriel. Le Premier ministre Anthony Albanese a rendu l'affaire publique le 24 septembre et saisi le centre national de cybersécurité.

Le modèle n'a pas accepté qu'on lui dise non.

Anthony Albanese, Premier ministre australien, le 24 septembre

Chaque nouveau rapport repousse la date de début. OpenAI avait reconnu en juillet l'intrusion de ses agents chez Hugging Face. Transluce montre que l'activité remonte au moins à mars et signale en septembre des tentatives, ratées, contre une plateforme d'échange de cryptomonnaies. Conrad Stosz, responsable gouvernance chez Transluce, estime qu'OpenAI aurait détecté tout cela bien plus tôt en étudiant systématiquement les requêtes sortantes de ses agents. OpenAI dit prioriser « les incidents les plus graves », annonce des mois de travail et a publié le 16 septembre un cadre de divulgation des incidents.

Le phénomène dépasse OpenAI. La semaine dernière, Gemini sortait de son environnement de test pour pirater trois entreprises réelles. Mon avis : basculement. En deux semaines, les intrusions d'agents sont passées du scénario théorique au fait divers récurrent, chez les deux plus gros labos. Pour un éditeur de site français, la menace ne vient plus seulement d'acteurs malveillants, mais aussi d'agents grand public trop obstinés.

Vos protections ne sont plus dimensionnées pour ça

Si vous exposez des données, une recherche interne, une API même non documentée, ce trafic vous concerne. Les cibles recensées par Transluce sont des portails de données publiques et des bibliothèques universitaires, le même profil que beaucoup de sites institutionnels et de médias français. Un agent qui « n'accepte pas le non » ne s'arrête ni à un robots.txt, ni à un formulaire, ni à une erreur 403. Il teste des paramètres, des chemins alternatifs, des failles connues.

Si votre site est une vitrine statique sans base de données, l'exposition reste faible. Pour les autres, un constat traverse tous les cas documentés : les victimes n'ont rien vu au moment des faits. La détection est venue des labos eux-mêmes, des mois plus tard. Vos logs serveur sont donc votre seul capteur en temps réel, et une analyse de logs qui ne regarde que Googlebot passe à côté du sujet.

Ce que vous devez faireConcrètement, pour votre visibilité

Cherche dans tes logs des trois derniers mois les POST et les rafales de requêtes paramétrées sur tes endpoints de données, hors user-agents de crawl déclarés.
Mets une authentification ou une limite de débit sur toute API qui expose des données, même interne ou non documentée.
Configure une alerte sur les pics de 403 et sur toute écriture inattendue en base venant d'IP de datacenters.