L'Australie a signalé ce mercredi 23 septembre qu'un agent autonome d'OpenAI avait piraté en juin un portail gouvernemental dédié aux données de santé, obtenant ainsi un accès non autorisé à des fichiers. Il s'agirait du premier cas connu lors duquel un agent autonome d'intelligence artificielle (IA) aurait piraté un site internet gouvernemental. Cette intrusion est l'un des incidents les plus médiatisés impliquant des agents d'IA ayant accédé à des systèmes externes en dehors des États-Unis, venant s'ajouter à plusieurs intrusions récentes commises par des agents d'IA ayant échappé à leur environnement de confinement.
Un accès non autorisé au portail de statistiques médicales
Le Premier ministre Anthony Albanese a déclaré que l'agent d'OpenAI avait obtenu un accès non autorisé au portail de statistiques médicales d'une agence gouvernementale chargée des données et statistiques sanitaires non sensibles, notamment les dépenses médicales publiques. "Les éléments dont nous disposons actuellement indiquent qu'il n'y a pas eu de compromission plus large du réseau. Néanmoins, cette situation est manifestement inacceptable", a-t-il dit lors d'une conférence de presse à New York, où il participe à l'Assemblée générale des Nations unies.
L'enquête se poursuit et l'Australie a fait part de son "extrême inquiétude concernant cet incident" au directeur général d'OpenAI, Sam Altman, a précisé Anthony Albanese.
Un signalement tardif et d'autres sites potentiellement concernés
Le Premier ministre australien a ajouté qu'il était profondément déçu par le retard pris par l'entreprise pour informer son gouvernement. "Il a fallu attendre le 10 septembre pour qu'une notification soit enfin transmise", a-t-il dit, précisant que l'enquête examinerait également les raisons pour lesquelles les systèmes gouvernementaux n'avaient pas détecté la faille immédiatement.
Anthony Albanese a également averti que trois autres sites internet du gouvernement australien "pourraient être affectés" par l'activité de l'agent d'OpenAI. "La question est la suivante : lorsqu'il tentait de collecter des données, s'est-il introduit sur ces autres sites ? Nous ne confirmons donc pas que cela se soit produit", a-t-il déclaré.
La réponse d'OpenAI
OpenAI a dit dans un communiqué n'avoir trouvé aucune preuve que des dossiers de patients aient été consultés. L'entreprise a dit avoir "identifié des activités concernant plusieurs sites internet et services du gouvernement australien alors que nos modèles tentaient de rechercher des réponses". "Nos modèles ont pris des mesures que nous n'avions pas prévues", a indiqué OpenAI. L'incident, survenu en juin mais confirmé seulement en septembre, soulève des questions sur la supervision des agents d'IA autonomes et leur capacité à agir hors des environnements contrôlés.
