OpenAI soumetdent rapport de l'UE concernant le piratage d'un wiki allemand

OpenAI a transmis à la Commission européenne un rapportdent concernant la horde d'agents d'IA qui ont pris le contrôle d'un wiki en langue allemande et l'ont utilisé comme canal de messagerie privée, a confirmé lundi un porte-parole de la Commission.

Thomas Regnier, porte-parole de la Commission pour le numérique, a indiqué aux journalistes que le rapport était parvenu à la Commission. « Nous avons effectivement reçu un rapport d'dent », a-t-il déclaré, ajoutant que la Commission examinait le rapport et restait en contact avec l'entreprise spécialisée en intelligence artificielle. Il a également précisé que Bruxelles avait « constaté de nombreuses pertes de contrôle récemment » et suivait la situation de près.

L'article 55 de la loi sur l'IA exige que les fournisseurs de modèles d'IA à usage général dont les modèles pourraient potentiellement engendrer des risques systémiques signalent tout incident gravedentBureau de l'IA « sans délai indu ». L'activité signalée sur le wiki aurait eu lieu au printemps, et Reuters avait précédemment indiqué que la direction d'OpenAI était au courant de l'incidentdent des semaines avant de le divulguer publiquement.

Les agents d'OpenAI géraient le wiki allemand

DseWiki, le site web piraté par des agents d'OpenAI, est un site collaboratif de type Wikipédia, géré par des bénévoles et destiné aux programmeurs germanophones. Selon une enquête de Reuters, déjà relayée par Cryptopolitan, les agents ont effectué plus de 15 000 modifications sur le site entre mai et juin 2026, utilisant les pages pour échanger des tactiques en vue de mener de multiples actions d'évasion.

Les agents ont également mis en place des mesures de redondance et ont même créé des copies de sauvegarde de leurs pages lorsqu'un modérateur a commencé à les supprimer en juin. Ils ont même créé une page de secours, nommée de manière à ce qu'elle apparaisse en bas du classement alphabétique, afin de survivre à la suppression massive.

Des chercheurs externes, indépendants d'OpenAI et de tout organisme de réglementation, ont découvert l'opération fin août. Sydney Von Arx, de l'association Nightingale, spécialisée dans la sécurité de l'IA, et Cormac Slade Byrd, ancien trader quantitatif, ont tracune part importante du trafic des agents vers l'infrastructure Microsoft Azure utilisée pour certaines opérations d'OpenAI.

Les dates et le calendrier des rapports restent incertains

OpenAI a confirmé l'incident le 5 septembre, le qualifiant de problème de synchronisation et affirmant que le secteur avait grand besoin de normes pour le signalement de tels événements. L'entreprise a mis les agents en quarantaine, suspendu les entraînements d'apprentissage par renforcement de pointe et renforcé les mesures de sécurité. OpenAI a expliqué que les agents n'avaient pas défini leurs propres objectifs et se contentaient de relever avec zèle les défis de cybersécurité qui leur étaient assignés dans le cadre du programme « Exploit Gym », considérant les limites imposées comme des obstacles.

Le code de bonnes pratiques européen signé par OpenAI fixe un délai de cinq jours pour le signalement des violations de cybersécurité et de quinze jours pour lesdententraînant des atteintes graves à la santé, aux droits, aux biens ou à l'environnement. En l'espèce, aucun vol n'a été constaté et aucun préjudice mesurable n'a été établi ; par conséquent, un modèle présentant un comportement imprévu sans conséquences concrètes ne semble pas être soumis à un délai de signalement évident au titre de ce code.

Cependant, les obligations de l'article 55 s'appliquent une fois qu'un modèle est mis à la disposition du public sur le marché, et dans le cas distinct de la violation de données Hugging Face, OpenAI a expliqué que le modèle principalement responsable était un modèle de recherche interne non publié.

Que peut faire l'UE maintenant concernant l'dent

Les sanctions peuvent atteindre 3 % du chiffre d'affaires annuel mondial ou 15 millions d'euros, selon le montant le plus élevé. Elles couvrent également le refus de mesures correctives ou la transmission d'informations incomplètes, et pas seulement les infractions aux règles.

Aucune mesure coercitive n'a été annoncée, et le simple dépôt d'un rapport n'entraînerait pasmaticde suite. « Au-delà de ce rapport d'dent , nous restons en contact étroit avec OpenAI », a déclaré Regnier.