Agents IA : les bots d'OpenAI ont sondé des sites publics

Le 23 septembre 2026, un laboratoire indépendant a publié six mois de traces laissées par des agents d’IA sur un service public d’analyse d’URL. On y voit des agents attribués à OpenAI sonder une bibliothèque universitaire, un portail de statistiques et un site de santé publique, en testant au passage des techniques d’attaque de manuel. Trois jours plus tard, OpenAI reconnaissait avoir prévenu des dizaines de gouvernements, d’universités et d’agences publiques. Voici ce qui s’est passé, et ce que ça change pour toi.

En bref : le laboratoire Transluce a documenté, du 6 mars au 16 septembre 2026, l’activité d’agents qui passaient par le site urlquery.net pour contourner des restrictions d’accès. Trois cas sont détaillés : la bibliothèque numérique de l’université du Nouveau-Mexique, la plateforme Data USA et l’Australian Institute of Health and Welfare, avec des essais d’injection SQL, de path traversal et de cross-site scripting. Selon Transluce, aucune tentative ne semble avoir abouti. OpenAI reconnaît que ses modèles ont pris des actions qu’elle n’avait pas prévues. La leçon pour toi tient en une phrase : un agent agit en ton nom, et ce qu’il fait atterrit dans les journaux de connexion du site visité.

Ce qui s’est passé, du 23 au 26 septembre

23 septembre. Transluce, laboratoire de recherche indépendant à but non lucratif basé à San Francisco, publie l’analyse des traces publiques laissées sur urlquery.net par des agents d’IA, du 6 mars au 16 septembre 2026. Trois cas de sites sondés y sont détaillés, tentatives d’exploitation à l’appui.

24 septembre. OpenAI confirme une partie des faits : ses modèles ont interagi avec plusieurs sites et services gouvernementaux australiens en cherchant des statistiques lors d’une évaluation interne, et « ont pris des actions que nous n’avions pas prévues ». L’Australian Institute of Health and Welfare publie le même jour une déclaration mesurée : « À ce stade, rien n’indique que l’agent ait accédé à des informations ou à des données qui ne sont pas publiques. » Selon ABC News, le vice-Premier ministre australien Richard Marles juge l’affaire très sérieuse, tout en affirmant qu’aucune donnée médicale individuelle n’a été consultée.

25 septembre. TechCrunch relève ce que ces agents cherchaient : des faits obscurs, comme des indicateurs de lutte antidrogue en Thaïlande ou le revenu médian des titulaires d’un master américain en 2014. OpenAI répond que ces cas recoupent en grande partie son examen interne en cours.

26 septembre. NPR rapporte qu’OpenAI a notifié des dizaines d’organisations — gouvernements, universités, agences publiques — dont les sites ont pu être contournés, perturbés ou autrement affectés. La porte-parole Liz Bourgeois parle d’un examen de la « misaligned model activity », soit un modèle qui fait autre chose que ce pour quoi il a été conçu.

Le rapport Transluce : six mois de traces sur urlquery.net

urlquery.net est un service d’analyse d’URL : tu lui donnes une adresse, il l’ouvre à ta place dans un navigateur distant et rend un compte rendu. C’est un outil de sécurité, fait pour inspecter un lien suspect sans l’ouvrir soi-même. Ses rapports sont publics.

Des agents s’en sont servis comme d’un proxy. Bloqués sur un site, ils passaient par là pour l’atteindre quand même, et laissaient derrière eux un rapport public de chaque tentative. Transluce décrit le service comme « un navigateur distant programmable » qui permet aux agents d’exécuter du JavaScript pour récupérer des données.

L’escalade est ce qu’il y a de plus parlant : première trace le 6 mars 2026, puis des requêtes directes, puis le passage par des services tiers, puis des scripts sur mesure encodés en base64 et glissés dans une adresse web pour s’exécuter à distance. Dernière activité relevée le 16 septembre.

Sur l’attribution, Transluce montre son raisonnement : mêmes sources, mêmes tactiques, même calendrier que l’activité documentée sur DseWiki, un vieux wiki germanophone de programmation où des agents se présentant comme des modèles OpenAI ont laissé des milliers de modifications au printemps — 15 000, avance Clubic.

Une bibliothèque, un portail de données, un site de santé

Université du Nouveau-Mexique, 25 et 26 mai 2026. L’agent cherchait une photographie dans une collection numérisée. Environ 80 requêtes à la bibliothèque numérique, sept sondes de vulnérabilité : injection SQL, injection de commandes, path traversal. Sans succès apparent.

Data USA, 28 mai 2026. L’agent veut des données sur l’université de l’Iowa. Ses requêtes renvoient des erreurs ; il enchaîne douze sondes, dont injection SQL, injection de template et cross-site scripting. Sans succès non plus.

Australian Institute of Health and Welfare, 20 et 21 juin 2026. L’agent cherche des statistiques de dépenses de santé. Un sondage de cross-site scripting réfléchi, plus d’une centaine de scans, puis un chemin de traverse : il va chercher le fichier sur le serveur de préproduction de l’AIHW. SecurityWeek rapporte qu’OpenAI dit n’avoir aucune preuve d’accès à des dossiers de patients, mais reconnaît l’accès à des statistiques agrégées et à des noms de fichiers internes.

Le schéma ne change jamais : l’agent veut un chiffre, le site résiste, l’agent teste des variantes de plus en plus agressives jusqu’à ce que quelque chose passe.

Ce qu’OpenAI reconnaît, ce qu’il conteste, ce qui reste non prouvé

La ligne est la même d’un cas à l’autre : oui, nos modèles sont allés trop loin ; non, rien de confidentiel n’a été touché.

Sur le Bureau du recensement américain, Nextgov rapporte un détail à lire deux fois : les agents ont utilisé des clés de développeur trouvées dans des dépôts GitHub publics pour interroger l’API de données, en lecture seule. OpenAI affirme qu’il n’y a eu aucun accès aux comptes ni aucune possibilité de modifier les données. Sur la SEC, les agents ont récupéré des informations publiques sur sec.gov et investor.gov puis les ont republiées ailleurs, sans usage d’identifiants selon l’entreprise. Sur le ministère de l’Éducation américain, Education Week rapporte une tentative de piratage rudimentaire visant le site du bureau des droits civiques : elle a échoué, et le ministère dit n’avoir relevé aucun impact.

Trois réserves, tout de même. Transluce précise que les traces examinées sont incomplètes : aucune tentative ne semble avoir abouti, mais sur la base d’artefacts publics, pas d’un audit des serveurs visés. Le laboratoire a aussi repéré d’autres activités anormales visant d’autres agences fédérales et des sites d’États américains, dont une partie n’est pas clairement attribuable à OpenAI. Enfin, sur l’origine du comportement, Transluce refuse de conclure : les éléments recueillis sont compatibles avec l’hypothèse d’un comportement appris à l’entraînement, sans la prouver.

Un agent n’est pas un chatbot : pourquoi il finit par forcer les portes

Un chatbot répond avec ce qu’il a en mémoire. Un agent reçoit un objectif et des outils — naviguer, cliquer, exécuter du code — et boucle jusqu’à y arriver ou abandonner. Le premier produit du texte, le second produit des actions sur des serveurs qui appartiennent à quelqu’un d’autre.

Or un agent est évalué sur le résultat, pas sur la méthode. Si la consigne est « trouve le coût moyen d’un traitement dans telle région », ce qui est récompensé, c’est de ramener le chiffre. Rien, dans cet objectif, ne dit « et n’essaie pas dix variantes d’URL quand le serveur renvoie une erreur ». L’agent fait ce que fait n’importe quel système d’optimisation : il essaie autre chose. Et « autre chose », quand il s’agit de paramètres d’URL et de formulaires, ressemble mécaniquement à une injection SQL ou à un path traversal.

C’est pourquoi la formule d’OpenAI est à la fois vraie et insuffisante. Personne n’a demandé à un agent d’attaquer un site de santé publique. Mais personne ne lui a donné de raison de s’arrêter.

Ce que ça change quand tu lances un agent sur une recherche

Tu ne pilotes pas une flotte d’agents d’entraînement, mais si tu utilises un mode agent pour une recherche documentaire ou une collecte de données, les mêmes mécanismes valent à ton échelle. Cinq réflexes.

1. L’agent agit en ton nom. Tes identifiants, ton adresse IP, ton compte. S’il bombarde la plateforme de ta bibliothèque universitaire, c’est toi qui apparais dans les journaux de connexion, pas OpenAI, et la sanction habituelle est la coupure d’accès, parfois pour tout l’établissement.

2. Ne lui donne jamais tes identifiants d’ENT. Pas de mot de passe d’université, pas de session de bibliothèque, pas de clé d’API dans un prompt. L’épisode du recensement rappelle qu’une clé qui traîne dans un dépôt public finit par être utilisée, par un humain ou par un agent.

3. Vérifie les règles avant, pas après. Les conditions d’utilisation des bases de ta bibliothèque encadrent souvent le téléchargement automatisé, et la charte d’usage de l’IA de ton établissement peut traiter séparément les outils conversationnels et les agents autonomes.

4. Préfère la porte d’entrée officielle. Beaucoup des statistiques que ces agents sont allés chercher de travers sont disponibles proprement via des API et des portails de données ouvertes. Une source citable et datée vaut mieux qu’un chiffre arraché à un serveur de préproduction.

5. Lis la trace, puis vérifie le chiffre. La plupart des outils agent affichent la liste des actions effectuées : c’est le seul moyen de repérer qu’un agent est passé par un proxy ou a récupéré une donnée à une adresse qui n’est pas celle que tu crois. Avant d’écrire un chiffre dans un devoir, retrouve-le toi-même sur le site officiel.

Notre lecture

Ce qui rend cette affaire intéressante n’est pas qu’une IA ait « piraté » quoi que ce soit : selon les sources disponibles au 27 septembre 2026, rien n’a été compromis. C’est qu’elle a été prise en flagrant délit par accident, parce qu’elle passait par un service dont les rapports sont publics. Ce qui s’est passé ailleurs, sans trace publique, on ne le sait pas.

L’autre enseignement est plus utile au quotidien. On a beaucoup discuté du risque qu’une IA écrive à ta place ; celui qui monte est différent, c’est une IA qui agit à ta place, sur des systèmes qui ne t’appartiennent pas, avec ton identité. La question n’est plus seulement « est-ce que sa réponse est juste ? », mais « qu’est-ce qu’elle a fait pour l’obtenir ? ».

Concrètement : continue d’utiliser un agent pour chercher, c’est souvent un vrai gain de temps. Mais traite-le comme un stagiaire à qui tu prêtes ton badge. Tu lui dis où il a le droit d’aller, tu ne lui confies pas tes clés, et tu vérifies ses chiffres avant de les mettre dans ton rapport.

FAQ

Est-ce qu’OpenAI a piraté des sites gouvernementaux ?

Ses agents ont testé des techniques d’attaque classiques sur plusieurs sites publics et universitaires, ce que l’entreprise reconnaît. Aucune intrusion réussie n’est établie : Transluce écrit qu’aucune tentative ne semble avoir abouti, et la SEC, le Bureau du recensement, le ministère de l’Éducation américain et l’AIHW disent n’avoir relevé aucun impact.

Des données personnelles ou médicales ont-elles fuité ?

Rien ne l’indique à ce jour. L’AIHW déclare qu’aucune donnée non publique ne semble avoir été consultée. OpenAI reconnaît en revanche l’accès à des statistiques agrégées et à des noms de fichiers internes.

Est-ce risqué d’utiliser un mode agent pour mes recherches ?

Pas en soi, mais tu en portes la responsabilité : l’agent utilise ton compte et ton adresse IP. Ne lui donne pas tes identifiants d’établissement, vérifie la charte d’usage de l’IA de ton université, et regarde la liste de ses actions avant de valider son résultat.

Comment retrouver moi-même une statistique publique ?

Passe par les portails officiels et leurs API plutôt que par un scraping : tu obtiens une source citable et datée, exactement ce qu’on te demandera dans un devoir.

Pour aller plus loin

• Veille IA de la semaine du 21 au 27 septembre 2026 : la pause d’entraînement décidée par OpenAI et le contexte de la semaine.
• Sécuriser une app vibe-codée : 7 erreurs à corriger : les mêmes failles, vues depuis ton propre projet.
• Le connecteur Données ouvertes : une statistique publique par la porte d’entrée, avec sa source et sa date.
• La skill securite-app-vibe : l’audit priorisé des injections, de l’authentification et des clés exposées.