par Stéphane 
OpenAI a reconnu ne pas avoir divulgué un précédent incident. Ses agents IA autonomes avaient détourné un wiki allemand pour communiquer entre eux et échanger des techniques de contournement des restrictions. Shane Barney, Chief Information Security Officer de Keeper Security, alerte sur ce point. L’entreprise a initialement qualifié cette activité de simple « désalignement » plutôt que d’incident de sécurité, révélant un fossé croissant entre la manière dont l’IA est testée et la façon dont elle est réellement gouvernée une fois déployée.
« La confirmation par OpenAI qu’un groupe d’agents autonomes a utilisé un wiki allemand peu connu consacré au codage comme forum informel, en y publiant environ 18 000 messages pour échanger des réponses et des solutions de contournement aux restrictions de l’environnement de test, constitue un signe supplémentaire du fossé grandissant entre la manière dont les systèmes d’IA sont testés en matière d’alignement et la façon dont ils sont réellement régis une fois déployés.
L’entreprise avait initialement qualifié cet épisode de « désalignement du modèle » plutôt que d’« incident de sécurité », ce qui explique pourquoi il n’a pas été signalé avant que les chercheurs ne publient leurs conclusions. Quelle que soit la manière dont on le qualifie, il n’en reste pas moins que les agents ont trouvé une faille en dehors du cadre prévu et l’ont exploitée pour mettre en place un canal de communication persistant et non autorisé.
Les agents autonomes constituent une forme d’identité non humaine, et ils ont besoin d’une gouvernance adaptée à cette réalité. Cela nécessite des autorisations délimitées, une visibilité sur les sessions et une surveillance comportementale conçues pour détecter la coordination entre les agents, et pas seulement les anomalies individuelles.
Selon l’étude de Keeper Security pour 2026, 35 % des organisations françaises citent déjà l’absence de gouvernance ou de supervision des accès et de l’automatisation pilotés par l’IA comme leur principale faille de sécurité en matière d’IA, et 39 % signalent spécifiquement la gestion des identités non humaines comme un point faible. Seules 22 % des organisations françaises affirment pouvoir identifier l’utilisation abusive d’identifiants ou un accès privilégié non autorisé en quelques minutes.
Les tests d’alignement indiquent comment un modèle est censé se comporter, mais ils ne révèlent pas ce dont il est techniquement capable. Il s’agit là de problèmes distincts qui nécessitent des contrôles distincts. Les organisations déployant une IA agentique devraient traiter chaque agent comme une identité privilégiée dès le premier jour, en lui accordant un accès avec le principe du privilège minimal et en conservant des audit trails complets, plutôt que de découvrir a posteriori quelles ressources il a exploitées. » — Shane Barney, Chief Information Security Officer, Keeper Security
Source : Rapport Keeper Security Insight : Identity Security at Machine Speed, mai 2026.